背景圖片來源/Julissa Santana on Unsplash

Mozilla上周釋出安全更新公告,以修補桌機、手機版瀏覽器及郵件軟體Thunderbird中2個可執行惡意JavaScript重大風險漏洞。

兩個漏洞中,CVE-2022-1802為Top-Level Await實作中的原型鏈污染(prototype pollution)漏洞。如果攻擊者可透過原型鏈污染破壞JavaScript中Array物件的方法(methods),就能取得權限執行程式碼。CVE-2022-1529則允許攻擊者傳送方法訊息到主行程查詢JavaScript物件索引,導到原型鏈污染,結果是攻擊者控制的JavaScript可以在具權限的主行程中執行。

2項漏洞都是由趨勢科技的Zero Day Initiative研究人員發現。Mozilla將之列為「重大」風險,並未提供詳細的風險值,但Red Hat安全公司將CVE-2022-1802CVE-2022-1529 皆列為8.8。

2項漏洞影響產品包括Firefox桌機、Android版及ESR版瀏覽器,以及Thunderbird郵件軟體。Mozilla已釋出Firefox 100.0.2、Firefox ESR 91.9.1、Firefox for Android 100.3及Thunderbird 91.9.1修補,並呼籲用戶儘速安裝。

熱門新聞

Advertisement