https://www.informationsecurity.com.tw/seminar/2024_Cloudflare/
https://www.informationsecurity.com.tw/seminar/2024_Cloudflare/

新聞

Mozilla 緊急修補 Firefox、Thunderbird 已遭用於駭侵攻擊的 0-day 漏洞

2023 / 09 / 25
編輯部
Mozilla 緊急修補 Firefox、Thunderbird 已遭用於駭侵攻擊的 0-day 漏洞
Mozilla 日前針對一個證實已遭用於駭侵攻擊的 Firefox、Thunderbird 0-day 嚴重漏洞推出緊急修補更新,使用者應立即套用。

該 0-day 漏洞的 CVE 編號為 CVE-2023-4863,是存於 WebP 程式碼儲存庫 (libwebp) 中的一個 heap 緩衝區在處理內容時發生的溢位錯誤;駭侵者可誘使受害者開啟特製的 WebP 影像檔案,藉以觸發該漏洞,造成系統崩潰,即可執行任意程式碼。

CVE-2023-4863 漏洞的 CVSS 漏洞危險程度評分達 8.8 分(滿分為 10 分),危險程度評級為「高」。Mozilla 也在對外發表的資安通報中指出,該公司已獲悉此漏洞已遭駭侵者用於攻擊活動的情資。

針對此一高風險 0-day 漏洞,Mozilla 推出 Firefox 117.0.1、Firefox ESR 115.2.1、Firefox ESR 102.15.1、Thunderbird 102.15.1 與 Thunderbird 115.2.2 新版。

此外,雖然 CVE-2023-4863 主要是發生在 Mozilla 推出的瀏覽器相關產品,但受此漏洞影響的軟體並不限於 Firefox 與 Thunderbird 等 Mozilla 產品;只要使用了 WebP 程式庫程式碼的應用程式,都含有此漏洞,包括 Google Chrome 瀏覽器在內。

Google Chrome 也已在近日針對 CVE-2023-4863 推出更新修補,但目前僅限於 beta 測試版;要再過數日到數星期,這個更新才會推送到一般使用者使用的 Stable 版本和 Extended Stable 版本。

建議上述 Mozilla 軟體的使用者應立即透過系統更新程序,更新到最新版本,以免遭到駭侵者透過未修補的已知漏洞發動攻擊得逞。

本文轉載自TWCERT/CC。