Firefox 121 のリリースで 13件の脆弱性を FIX：リモートコード実行にいたる可能性

Mozilla Patches Firefox Vulnerability Allowing Remote Code Execution, Sandbox Escape

2023/12/20 SecurityWeek — 12月19日 (火) に Mozilla は、Firefox と Thunderbirdのセキュリティアップデートを発表した。Firefox 121 では、18件の脆弱性に対するパッチがリリースされている。その脆弱性リストのトップは CVE-2023-6856 であり、ブラウザ内でインタラクティブなグラフィックスをレンダリングするための、JavaScript API である WebGL におけるヒープバッファ・オーバーフローのバグだとされている。

Mozilla のアドバイザリには、「WebGL の DrawElementsInstanced メソッドが、Mesa VMドライバを搭載したシステムで使用された場合には、ヒープバッファ・オーバーフローが生じる。この脆弱性の悪用に成功した攻撃者は、リモート・コード実実行や、サンドボックス・エスケープを引き起こす可能性がある」と説明されている。

２番めの脆弱性 CVE-2023-6135 は、Network Security Services (NSS) の NIST カーブにおける Minerva サイドチャネル攻撃に関する問題であり、秘密鍵の回復を敵対者に許す可能性があるものだ。

さらに Mozilla は、EncryptingOutputStream の初期化されていないデータを公開する可能性のある、脆弱性 CVE-2023-6865 も解決している。このバグの悪用に成功した攻撃者は、ローカル・ディスクにデータを書き込み、プライベート・ブラウジングモードに影響を与える可能性がある。

最新版の Firefox 121 では、脆弱性 CVE-2023-6873／CVE-2023-6864 などの、メモリの安全性に関連する問題も対処されている。後者は、Firefox ESR と Thunderbird にも影響する。

また、Firefox 121 で、ヒープバッファ・オーバーフロー、解放後のメモリ使用／サンドボックス・エスケープなどの、合計で８件の Medium 脆弱性も解決されている。残りの５件の脆弱性は、深刻度 Low と評価されている。

12月19日 (火) に Mozilla は、Thunderbird 115.6 のリリースも発表し、11件の脆弱性に対するパッチを適用した。そのうちの９件では、Firefox と同様の修正が行われている。残りの２件も深刻度が高く、電子メール・メッセージを詐称 (CVE-2023-50762) や、メッセージが送信時刻の詐称 (CVE-2023-50761) にいたる恐れがあるという。

同日に、Firefox ESR 115.6 もリリースされ、Firefox 121 で解決されたセキュリティ欠陥のうち、11件にパッチが当てられた。

Mozilla は、これらの脆弱性の、攻撃での悪用については言及していない。追加情報はMozilla のセキュリティ・アドバイザリ・ページで確認できる。

先日に Chrome が 120 にアップデートされ、今日は Firefox が 121 にアップデートされました。おそらく、Chromium のアップデートに連携しているものなのだろうと思います。よろしければ。Firefox で検索も、ご利用ください。