Mozilla устранила в Firefox две 0-day, активно используемые в кибератаках

Mozilla устранила в Firefox две 0-day, активно используемые в кибератаках

Mozilla устранила в Firefox две 0-day, активно используемые в кибератаках

Mozilla выпустила внеплановые обновления для знаменитого браузера Firefox, с помощью которых разработчики устранили две опасные уязвимости. По данным компании, оба бага в настоящее время используются в реальных атаках.

Бреши получили идентификаторы CVE-2022-26485 и CVE-2022-26486. Это типичные проблемы класса Use-After-Free — некорректное использование динамической памяти, затрагивающие XSLT-параметр и WebGPU.

XSLT — это основанный на XML язык, используемый для конвертации XML-документов в веб-страницы и PDF. WebGPU — относительно новый веб-стандарт, который принято считать преемником WebGL.

Специалисты описывают две пропатченные уязвимости следующим образом:

  • CVE-2022-26485 — удаление параметра XSLT, открывающее возможность некорректного использования динамической памяти.
  • CVE-2022-26486 — неверное сообщение во фреймворке IPC WebGPU также приводит к use-after-free и обходу песочницы.

Mozilla признала, что располагает информацией об использовании вышеописанных багов в реальных атаках киберпреступников. Тем не менее компания не захотела раскрывать технические детали и называть имя группировки, стоящей за этими атаками.

Google без спроса устанавливает на Android проверку разработчиков

Пользователи Android начали замечать на смартфонах новое приложение Android Developer Verifier с идентификатором com.google.android.verifier. Оно появляется без отдельного запроса и готовит устройства к будущим ограничениям на установку APK из сторонних источников.

Сервис будет проверять, зарегистрировано ли устанавливаемое приложение за подтверждённым разработчиком.

Для получения такого статуса автору потребуется пройти проверку личности и предоставить Google юридические данные. Это не гарантирует безопасность программы, зато позволяет связать её с конкретным человеком или компанией.

Google объясняет ограничения борьбой с мошенниками. Те нередко звонят жертвам, пугают уголовным делом или бедой с родственником, а затем торопят отключить защиту и установить вредоносный APK. Обычные предупреждения пользователи в панике пролистывают, поэтому Android добавит полосу препятствий.

  

 

Для установки приложения неподтверждённого разработчика придётся включить режим разработчика, подтвердить отсутствие давления, перезагрузить смартфон, подождать 24 часа и повторно войти по ПИН-коду или биометрии. За сутки срочный сотрудник банка обычно успеет потерять интерес.

Android Developer Verifier распространяется через системные обновления Google, отказаться от его загрузки нельзя. Сейчас приложение у большинства пользователей бездействует. Новые требования начнут вводить 30 сентября в Бразилии, Индонезии, Сингапуре и Таиланде, а глобальное расширение запланировано на 2027 год и позднее.

Удалить сервис пока можно, но неизвестно, не вернётся ли он с очередным обновлением и поможет ли это обойти проверку.

Для опытных пользователей оставили лазейку: установка через ADB не подпадает под ограничения и не требует суточного ожидания. Пользовательские прошивки без сервисов Google тоже могут отказаться от новой системы.

RSS: Новости на портале Anti-Malware.ru