На этой неделе, 19 числа, Mozilla выпустила крупное обновление для своего браузера. Через пару дней новая версия попала в официальные репозитории, а сегодня, два дня спустя, компания получила выпустила Firefox 66.0.1, версию, которая исправляет два критических недостатка безопасности. которые были найдены в хакерском конкурсе Pwn2Own, где они посвящены поиску и использованию этих типов недостатков, но для нашей пользы.
Firefox 66.0.1 - это Доступно для Windows, Mac и Linux, но его пока нет ни в виде snap-пакета, ни в официальных репозиториях. Учитывая, сколько времени потребовалось для выпуска версии 66, мы можем предположить, что версия 66.0.1 будет доступна в следующий понедельник. Вот почему так важны пакеты snap или другие подобные пакеты, такие как Flatpak: хотя он еще не появляется в Snappy Store, пакет snap получает обновления через Push, то есть та же программа получает их, как только она открывается.
Firefox 66.0.1 скоро появится в официальных репозиториях
ошибки, которые исправляет эта версия Это CVE-2019-9810 и CVE-2019-9813, обнаруженные Ричардом Чжу, Аматом Камой и Никласом Баумстарком в рамках инициативы Trend Micro Zero Day. Первый из двух описывает проблема перегрузки буфера и сбой проверки лимита отсутствует в Firefox 66 из-за неправильной информации о псевдониме в JIT-компиляторе IonMonkey для метода Array.prototype.slice.
С другой стороны, CVE-2019-9813 о проблема "путаницы при вводе" в самой JIT IonMonkey, но на этот раз в коде. Эта ошибка может позволить злоумышленнику читать и записывать произвольную память., что было (и все еще возможно в v66) из-за неправильной обработки __proto__mutations.
Mozilla призывает всех пользователей обновлять как можно больше. Как мы упоминали ранее, пользователи Windows и macOS смогут сделать это из предупреждения, которое Firefox показывает, когда доступно обновление, благодаря тому факту, что push-обновления уже давно существуют в этих системах. Пользователи Linux могут скачать новую версию и выполните ручную установку, но это не самый рекомендуемый вариант. Те, кто использует пакет snap, смогут выполнить обновление прямо сейчас, в то время как тем из нас, кто использует версию APT, придется подождать пару дней. Тогда подождем.
