Mozilla patches Firefox, Thunderbird against zero-day exploited in attacks
2023/09/12 BleepingComputer — 今日、Mozilla は、Firefox と Thunderbird に影響を及ぼし、野放し状態で悪用されている深刻なゼロデイ脆弱性を修正するために、緊急セキュリティ・アップデートをリリースした。この脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、その影響はクラッシュから任意のコード実行にまで及ぶという。
9月12日 (火) に公開された Mozilla のアドバイザリには、「悪意の WebP 画像を開くと、コンテンツ・プロセスでヒープバッファ・オーバーフローが発生する可能性がある。当社では、他の製品において、この問題が野放し状態で悪用されていることを認識している」と記されている。
Mozilla は、Firefox 117.0.1／Firefox ESR 115.2.1／Firefox ESR 102.15.1／Thunderbird 102.15.1／Thunderbird 115.2.2 において、このゼロデイ脆弱性に対処した。
一連の攻撃における WebP 欠陥の悪用方法については、現時点で具体的な詳細は公表されていないが、この深刻な脆弱性は現実のシナリオで用いられている。
したがって、潜在的な攻撃からシステムを保護するために、Firefox と Thunderbird の更新版をインストールすることが強く推奨される。
今日のセキュリティ・アドバイザリで Mozilla が明らかにしたように、このゼロデイ脆弱性 CVE-2023-4863 は、脆弱な Web P コード・ライブラリを使用している、他社のソフトウェアにも影響を与えている。
その１つが Chrome であり、9月11日 (月) の時点で Google はパッチを適用し、また、脆弱性 CVE-2023-4863 のエクスプロイトが、野放しで存在することを認識していると述べていた。
Chrome のセキュリティ・アップデートは、Stable／Extended Stable チャンネルでユーザー向けに展開されており、今後の数日〜数週間で全ユーザーに行き渡る見込みだ。
このバグを9月6日に報告したのは、Apple の Security Engineering and Architecture (SEAR) チームと、トロント大学 Munk School の Citizen Lab である。
Citizen Lab の研究者たちは、国家に支援される脅威アクターによる、標的型スパイ活動で頻繁に悪用されるゼロデイ脆弱性を特定／公表してきた経緯がある。
このようなキャンペーンで狙われるのは、ジャーナリスト／野党政治家／反体制派などの個人のケースが多い。
先日に Apple は、パッチ適用済の iPhone に対して、NSO Group の傭兵スパイウェア Pegasus を展開する、BLASTPASS と呼ばれるエクスプロイト・チェーンに関連するものとして、Citizen Lab によりタグ付けされ、野放し状態で悪用されている、２つのゼロデイ脆弱性にパッチを適用している。
なお、今日の時点で、後期の BLASTPASS パッチは、iPhone 6s／iPhone 7／iPhone SE 1st などの、古い iPhone モデルにもバックポートされている。
この脆弱性 CVE-2023-4863 ですが、お隣のキュレーション・チームに聞いてみたところ、Firefox だけではなく、Chrome と Edge にも共通しているので、Chromium の脆弱性のようです。よろしければ、Mozilla で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.