Firefox, falla 0-day utilizzata per eseguire malware sui Mac. Meglio aggiornare

Il team alla base di Firefox ha rilasciato un aggiornamento critico per correggere una vulnerabilità 0-day sul browser che è già stata attivamente sfruttata. I browser di ultima generazione sono tutti estremamente sicuri se vengono aggiornati costantemente, tuttavia questo non vale con le vulnerabilità 0-day che non sono ancora state corrette. In questi casi, infatti, si usa un browser che potrebbe essere attaccato da eventuali aggressori.

Proprio per questo chi utilizza Firefox come proprio browser principale o secondario, dovrebbe aggiornare con rapidità alla versione 67.0.3, l'unica attualmente sicura dalla vulnerabilità 0-day recentemente scoperta. In una nota di sicurezza rilasciata dalla compagnia si legge che l'impatto del bug presente - definito "type confusion vulnerability" - è "critico": il problema sembra presente su Array.pop, e può essere sfruttato con la manipolazione di oggetti JavaScript per scatenare un crash.

Il crash è sfruttabile attraverso l'esecuzione di codice sfruttando il bug su Array.pop, con la compagnia che conferma di essere "a conoscenza di attacchi mirati che sfruttano questa falla". La scoperta del bug è stata fatta da Samuel Groß, del prolifico Project Zero di Google, e dal team di sicurezza di Coinbase. Si presume che la vulnerabilità venga sfruttata per attaccare chi è proprietario di criptovalute, e al momento in cui scriviamo sembra che solo gli utenti di sistemi con macOS debbano preoccuparsi.

In ogni caso non ci sono controindicazioni ad aggiornare alla versione più recente e sicura di Firefox, e l'update è consigliato per tutti gli utenti attraverso le impostazioni del browser o dal sito ufficiale. La procedura dovrebbe essere completata anche automaticamente, soprattutto se non è stato indicato diversamente dall'utente nelle Impostazioni. È curioso notare come l'aggiornamento sia stato rilasciato solo durante questa settimana, ma le prime segnalazioni della vulnerabilità da parte del Project Zero risalgono allo scorso mese di aprile.