Firefox 158 затваря няколко пътя за излизане от sandbox

16 октомври 2026 г. в 04:00|Автор: Редакционният екип на QUASA|5 мин. четене

Mozilla пусна Firefox 158.0 в стабилния канал на 13 октомври 2026 г., както сочат бележките за изданието. В бюлетина MFSA 2026-106 са изброени 30 уязвимости с висока степен на въздействие, включително четири за излизане от sandbox. За хората, които използват стабилната версия, и за администраторите това е основание обновяването да не се отлага: по-старите инсталации не съдържат тези поправки.

Японското издание Impress Watch отчита общо 77 поправени уязвимости с CVE идентификатори: 30 с висока, 33 с умерена и 14 с ниска степен на въздействие. Категориите описват тежестта на отделните дефекти, а не една обща атака срещу браузъра. Публикуваните описания не съобщават за установена активна експлоатация на изброените пропуски.

Четири високорискови изхода от sandbox

Firefox 158 укрепва границите между изолираните процеси на браузъра.

Най-същественият общ риск е нарушаването на границата, която ограничава процесите за уеб съдържание. Три от високо оценените уязвимости за излизане от sandbox са в мрежовия компонент на Firefox. Едната съчетава проблем с изолацията на сайтове, неправилна проверка на граници и използване на памет след освобождаването ѝ; при другите две са посочени съответно използване на освободена памет и неправилна проверка на граници.

Четвъртият високо оценен пропуск от тази група е в графичния компонент и е описан като излизане от sandbox заради неинициализирана памет. Така поправките обхващат различни части от браузъра, а не един повтарящ се дефект. Защитата чрез sandbox има смисъл именно защото поставя ограничения пред процеса, който обработва уеб съдържание; пробивът на тази граница може да даде достъп отвъд предвидените за него права.

Има и уязвимости за излизане от sandbox с умерена оценка. Те засягат компонента Win32, Web Serial, процесите за съдържание и мрежовия компонент, където е посочено състояние на състезание. Различната оценка е важна: общият термин описва нарушена изолация, но не означава еднакви условия за използване или еднакво въздействие при всеки дефект.

Кратките записи в бюлетина назовават засегнатите компоненти и вида на грешката. Те не дават подробна последователност от действия за нападател, затова от обозначението „излизане от sandbox“ само по себе си не следва извод, че всеки от пропуските осигурява пълен контрол над устройството. Практическата стойност на версията е, че затваря няколко отделни пътя през тази защитна граница.

Поправки срещу повишаване на права

Firefox 158 поправя проблеми с повишаване на права при обновяването и изолирането на процесите.

Firefox 158 отстранява и дефекти, при които код може да получи по-широки права от предвидените. Висока оценка има уязвимост в компонента за обновяване на приложението. Друг високо оценен проблем е в изолирането на процесите и е описан едновременно като повишаване на права и разкриване на информация. Това са две възможни последици от един запис в бюлетина, а не описание на вече осъществена верига от атаки.

С умерена оценка са посочени проблеми с повишаване на права в WebExtensions, придвижването и мащабирането на страницата, както и навигацията в DOM. Разположението им показва защо инсталирането на версията има по-широк ефект от поправката на мрежовите пропуски: засегнати са също механизмите за разширения и обработката на страници. В WebExtensions има и отделен ниско оценен запис за повишаване на права, който не бива да се смесва с умерено оценения дефект в същия компонент.

Оценката на въздействието помага да се подредят тези поправки по тежест, но не описва всички предпоставки за използването им. Например наличието на дефект в компонента за обновяване не означава, че всяко обновяване е било компрометирано. Потвърденото последствие е по-конкретно: Firefox 158 включва поправка за този компонент и за останалите изброени пътища за повишаване на права.

Къде е възможно разкриване на информация

Разкриването на информация е трета група последствия в бюлетина. Високо оцененият дефект в изолирането на процесите попада и тук, докато PDF прегледът и мрежовият компонент имат отделни записи с умерена оценка. При ниско оценените уязвимости са посочени мрежовият кеш, мрежовата част на WebRTC и IndexedDB.

Тези имена показват в кои части от браузъра е поправена защитата, но не определят един и същ вид данни за всички случаи. PDF прегледът обработва отворени документи, IndexedDB съхранява данни за сайтове, а WebRTC участва в комуникация в реално време. От самото наличие на запис за разкриване на информация не може да се заключи, че всеки посетен сайт или всеки потребителски файл е бил изложен.

Групирането по последствие прави обхвата на изданието по-ясен: поправките за изолацията ограничават преминаването между процеси, тези за права засягат допустимите действия на кода, а записите за информация се отнасят до защита на данни. Един дефект може да присъства в повече от една от тези групи. Затова броят на категориите не трябва да се събира като брой допълнителни уязвимости.

Как да проверите инсталираната версия

Обновяването до Firefox 158 включва поправките за изолираните процеси.

При стандартната настолна инсталация отворете менюто на Firefox, изберете „Помощ“, след това „Относно Firefox“. Прозорецът показва номера на инсталираната версия и обичайно започва проверка за обновяване. Ако показва Firefox 158.0, поправките от бюлетина за стабилния канал са включени; ако показва по-стара версия, изчакайте обновяването и рестартирайте браузъра, когато това бъде поискано.

На Linux начинът на инсталиране има значение. При версия, предоставена от Mozilla, проверката в прозореца на браузъра може да изтегли обновлението; при пакет, поддържан от дистрибуцията, то идва чрез нейния пакетен мениджър. Затова видимият номер на работещия браузър е по-сигурен ориентир от предположението, че автоматичната актуализация вече е приключила.

Администраторите трябва да разграничат стабилния Firefox от инсталациите на Firefox ESR, които следват собствен цикъл и имат отделни издания за сигурност. Проверката за версия 158.0 се отнася до стабилния канал; при ESR е нужно да се провери актуалната версия на съответния клон. На устройство, което все още работи със стара стабилна версия, поправените граници на изолация остават недостъпни до завършването на обновяването.

Прочетете също:

Споделяне: