Mozilla lanzó el martes actualizaciones de seguridad para resolver una vulnerabilidad crítica de día cero en Firefox y Thunderbird que ha sido explotada activamente en la naturaleza, un día después de que Google publicara una solución para el problema en su navegador Chrome.
La deficiencia, asignado el identificador. CVE-2023-4863es una falla de desbordamiento del búfer en el formato de imagen WebP que podría resultar en la ejecución de código arbitrario al procesar una imagen especialmente diseñada.
«Abrir una imagen WebP maliciosa podría provocar un desbordamiento del buffer en el proceso de contenido», Mozilla dicho en un aviso. «Somos conscientes de que este problema se está explotando en otros productos en el medio natural».
Según la descripción de la Base de datos nacional de vulnerabilidades (NVD), la falla podría permitir a un atacante remoto realizar una escritura de memoria fuera de los límites a través de una página HTML diseñada.
A Apple Security Engineering and Architecture (SEAR) y al Citizen Lab de la Escuela Munk de la Universidad de Toronto se les atribuye el mérito de informar sobre el problema de seguridad. Se ha solucionado en Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 y Thunderbird 115.2.2.
Demasiado vulnerable: descubrir el estado de la superficie de ataque a la identidad
¿Consiguió el MFA? ¿PAM? ¿Protección de la cuenta de servicio? Descubra qué tan bien equipada está realmente su organización contra las amenazas a la identidad
El desarrollo se produce un día después de que Google publicara correcciones para la misma falla en Chrome, señalando que es «consciente de que existe un exploit para CVE-2023-4863 en la naturaleza».
La semana pasada, Apple también publicó actualizaciones para tapar dos agujeros de seguridad explotados activamente que, según Citizen Lab, se han convertido en armas como parte de una cadena de exploits de iMessage sin hacer clic llamada BLASTPASS para implementar el software espía Pegasus en iPhones completamente parcheados con iOS 16.6.
Si bien aún se desconocen los detalles específicos sobre la explotación de las fallas, se sospecha que todas ellas están siendo aprovechadas para atacar a personas que corren un riesgo elevado, como activistas, disidentes y periodistas.