Bu yılki PWN2own Berlin’de güvenlik araştırmacıları, Mozilla Firefox’a karşı iki yeni sıfır gün istismarı sergiledi ve tarayıcının içerik sürecini hedef aldı.
Güvenlik açıkları-CVE-2025-4918 ve CVE-2025-4919-hem Firefox’un JavaScript motorunda bulundu hem de uzak olmayan bellek erişimine izin vererek uzaktan kod yürütme ve hassas veri maruziyeti riskini artırdı.
Bununla birlikte, hiçbiri, saldırganların kullanıcının sistemi üzerinde tam kontrol sahibi olmasını önlemek için tasarlanmış kritik bir güvenlik sınırı olan Firefox’un kum havuzundan kaçmayı başaramadı.
.png
)
Mozilla saatler içinde cevap verdi ve tüm platformlarda yamalı versiyonlar yayınladı: Firefox 138.0.4, Firefox ESR 128.10.1, Firefox ESR 115.23.1 ve Android için Firefox.
Bu güvenlik açıkları yarışma sırasında aktif olarak kullanıldığından ve kamuya açıklanan kullanıcılara ve yöneticilere hemen güncellenmeleri şiddetle tavsiye edilir.
Güvenlik açıkları ve etkileri
Her iki güvenlik açığı da Spidermonkey JavaScript motorundaki zayıflıklardan yararlandı:
- CVE-2025-4918: Bu kusur, JavaScript’i çözerken uygunsuz bellek sınırı işlemini içeriyordu
Promisenesneler. Saldırganlar, potansiyel olarak bellek yolsuzluğuna veya keyfi kod uygulamasına yol açan sınır dışı okumalar veya yazabilirler. Güvenlik açığı, Palo Alto Networks’ten Edouard Bochin ve Tao Yan tarafından keşfedildi. - CVE-2025-4919: Bu hata, optimizasyon rutinlerindeki dizi dizin hesaplamaları sırasında bir tamsayı taşmasından kaynaklandı, bu da sınır dışı erişim ve bellek bozulmasına neden oldu. Güvenlik açığı Manfred Paul tarafından tanımlandı.
Teknik Örnek: JavaScript’te sınır dışı erişim
javascript// Vulnerable pattern (simplified)
let arr = [1, 2, 3];
let idx = calculateIndex(); // Malicious input manipulates idx
arr[idx] = 42; // If idx is out-of-bounds, memory corruption may occur
Tablo: Firefox sıfır gün güvenlik açıklarının özeti
| CVE kimliği | Etkilenen sürümler | Güvenlik Açığı Detayları | Darbe |
|---|---|---|---|
| CVE-2025-4918 | <138.0.4, ESR <128.10.1, <115.23.1 | Vaat Çözünürlüğünde Sınır Dışı Erişim (JavaScript Motoru) | Uzak Kod Yürütme |
| CVE-2025-4919 | <138.0.4, ESR <128.10.1, <115.23.1 | Optimizasyonda dizi indeks yanlış hesaplanması, hafıza yolsuzluğuna yol açarak | Uzak Kod Yürütme |
Her iki güvenlik açıkları da kurbanın kötü niyetli bir web sayfasını ziyaret etmesini gerektiriyordu, bu da gerçek dünya etkisini azaltmada tarayıcı işlemi izolasyonunun ve kum havuzunun önemini vurguladı.
Mozilla’nın Güvenlik Yanıtı
Mozilla’nın olay yanıtı, mühendislik, KG ve serbest bırakma yönetimi genelinde küresel ekipleri içeren hızlı ve koordine edildi.
Yamalar, ikinci istismarın duyurusu ile aynı gün geliştirildi, test edildi ve konuşlandırıldı ve Mozilla’nın hızlı hafifletme geleneğini sürdürdü.
Geçen yıl, ekip açıklamadan sonraki 21 saat içinde kritik bir hata yaptı.
En önemlisi, hiçbiri Sustay, son mimari gelişmelerin bir kanıtı olan Firefox sanal alanından kaçmayı başaramadı.
Mozilla, bu geliştirmelerin tarayıcı istismarlarından tam sistem uzlaşma riskini önemli ölçüde azalttığını ve kullanıcı korumasını güçlendirdiğini doğruladı.
Mozilla’nın güvenlik ekibi, tüm kullanıcıları hemen güncellemeye teşvik eder ve Firefox’un güvenlik mimarisinin sürekli sertleşmesine bağlı kalır.
Şirket ayrıca güvenlik araştırmacılarını hata ödül programına katılmaya davet ediyor ve Saldırı ve Savunma – Mühendisler, Araştırmacılar ve Ödül Avcıları için Firefox Güvenlik Dahili blog.
İyileştirme:
- Firefox 138.0.4, ESR 128.10.1 veya ESR 115.23.1’i hemen güncelleyin.
- Yöneticiler, savunmasız varlıkları tespit etmek için Qualys Qids 383252 ve 383254 kullanabilir.
Mozilla’nın PWN2OWN 2025’teki hızlı, şeffaf yanıtı, kullanıcı güvenliğini önceliklendirme konusundaki itibarını güçlendirir ve tarayıcı endüstrisinde olay yanıtı için yüksek bir standart belirler
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!