Aktywnie wykorzystywana w atakach
Mozilla Firefox Use-After-Free Vulnerability
Mozilla - Firefox · Figuruje w katalogu CISA KEV od 2022-03-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-26486
KrytyczneCVSS 9.6KEVPrawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Nieoczekiwana wiadomość w frameworku WebGPU IPC może prowadzić do użycia po zwolnieniu (use-after-free) i możliwej do wykorzystania ucieczki z piaskownicy. Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do ucieczki z piaskownicy przeglądarki, co może prowadzić do przejęcia kontroli nad systemem. Ze względu na aktywne ataki, ryzyko jest wysokie.
Rekomendacja
Zaleca się natychmiastową aktualizację wszystkich dotkniętych produktów Mozilla do najnowszych wersji, które zawierają poprawki.
Oryginalny opis (angielski, źródło NVD)
An unexpected message in the WebGPU IPC framework could lead to a use-after-free and exploitable sandbox escape. We have had reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.