Les développeurs de la Fondation Mozilla ont publié des mises à jour de sécurité pour leur navigateur web. Ils ont comblé 13 failles de sécurité dans Firefox 94 et dix dans la version ESR 91.3. Selon les programmeurs, sept de ces lacunes présentent un risque de sécurité élevé, quatre un risque modéré et deux un risque faible.

Les écarts individuels sous le microscope

Le problème le plus grave affecte les deux versions précédentes de la même manière et était enfoui dans la gestion de la mémoire (désignation interne MOZ-2021-0007). Les failles de ce système pourraient, avec suffisamment d’efforts, être exploitées pour exécuter du code injecté. Parmi les fuites de sécurité scellées, il y a également une vulnérabilité dans le jeu de règles de la sandbox iframe (CVE-2021-38503). Les attaquants pourraient le contourner en manipulant des feuilles de style XSLT et ainsi exécuter des scripts ou s’introduire dans le cadre principal.

Un autre bug a été introduit par de nouvelles fonctionnalités du système d’exploitation : le presse-papiers en nuage de Windows 10 copie d’abord tout ce qui se trouve dans le presse-papiers sur le serveur en nuage de Microsoft pour le synchroniser avec d’autres appareils. Les logiciels peuvent protéger les données sensibles de cette redistribution en marquant ce contenu copié. Les développeurs de Firefox ont maintenant donné suite à ce problème (CVE-2021-38505). En outre, le dialogue de sélection des fichiers peut entraîner un plantage du programme (CVE-2021-38504). Les autres failles de sécurité fermées pourraient être exploitées pour des attaques de phishing ou de cross-site scripting, par exemple.

Recommandation d’action et informations complémentaires

Les utilisateurs de Firefox doivent vérifier s’ils utilisent déjà la dernière version. La façon la plus simple de le faire est de cliquer sur le « menu hamburger » en haut à droite et de sélectionner « Aide » – « À propos de Firefox ». Si la version n’est pas à jour, cela déclenchera le téléchargement de la version mise à jour.

Selon le calendrier de publication du fabricant, l’ancienne version 78 de l’ESR ne sera plus mise à jour. Il est donc fortement recommandé de passer aux versions les plus récentes.

Des informations plus détaillées peuvent être trouvées dans les avis de la Fondation Mozilla :

• Vulnérabilités de sécurité corrigées dans Firefox 94
• Vulnérabilités de sécurité corrigées dans Firefox ESR 91.3