Firefox 158 aizlāpa augsta riska kļūdas — atjauninājumu atlikt nav vērts

|Autors: QUASA redakcija|4 min lasīšanai
Firefox 158 aizlāpa augsta riska kļūdas — atjauninājumu atlikt nav vērts

Mozilla Firefox 158.0 laidiena piezīmēs norāda, ka stabilā kanāla lietotājiem versija pirmoreiz piedāvāta 2026. gada 13. oktobrī un tajā iekļauti drošības labojumi. Darbvirsmas Firefox lietotājam tas ir laidiens, kas jāredz instalētās versijas logā; ar lejupielādētu, bet vēl neieviestu atjauninājumu nepietiek.

Mozilla drošības biļetens par Firefox 158 labojumu kopējo ietekmi vērtē kā augstu un uzskaita privilēģiju paaugstināšanu atjaunināšanas komponentā, smilškastes apiešanu un atmiņas lietošanas kļūdas. Tas ir pamats neatlikt versijas pārbaudi: skartas gan piekļuves tiesību, gan procesu izolācijas robežas. Biļetena vērtējums raksturo ievainojamību ietekmi, nevis apliecina, ka tās jau izmantotas uzbrukumos.

Augstākais risks: piekļuves tiesības un procesu izolācija

Atjaunināšanas komponenta ievainojamība ir klasificēta kā augstas ietekmes privilēģiju paaugstināšana. Tas nozīmē, ka kļūda skar piekļuves tiesību robežu; tās nozīmi nevar reducēt uz iespējamu atjauninājuma lejupielādes neveiksmi. Īsais ievainojamības apraksts nesniedz pilnu uzbrukuma scenāriju, tādēļ no tā nevar secināt, kādi priekšnosacījumi būtu vajadzīgi ļaunprātīgai izmantošanai.

Smilškastes kļūdu grupa ir atsevišķi svarīga, jo smilškaste ierobežo pārlūka procesu iespējas. Tīkla komponentā uzskaitītas vairākas augstas ietekmes apiešanas kļūdas: vienā ierakstā līdzās smilškastes apiešanai minēta vietņu izolācija, nepareiza robežnosacījumu pārbaude un jau atbrīvotas atmiņas izmantošana. Vēl viena augstas ietekmes problēma procesu smilškastē apvieno informācijas atklāšanu ar privilēģiju paaugstināšanu, bet grafikas komponentā minēta apiešana saistībā ar neinicializētu atmiņu. Tie ir dažādi defekti, nevis viena apstiprināta uzbrukuma ķēde.

Atmiņas kļūdas skar vairākas pārlūka daļas

Jau atbrīvotas atmiņas izmantošana nozīmē, ka programmas daļa turpina atsaukties uz atmiņu pēc tās atbrīvošanas. Augstas ietekmes ieraksti skar IndexedDB datu glabāšanu, teksta un Canvas2D grafiku, DOM sasaistes un XML apstrādi. Vēl viens ieraksts CanvasWebGL grafikas komponentā apvieno sacensības situāciju ar atmiņas lietošanas kļūdu. Lietotājam būtiska ir šo komponentu dažādība: drošības labojumu nevar aizvietot ar vienas vietņu kategorijas vai pārlūka funkcijas neizmantošanu.

JavaScript dzinējā ir arī robežnosacījumu pārbaudes kļūdas un kļūdaina koda kompilēšana izpildes laikā. Tas ir cits defektu veids nekā jau atbrīvotas atmiņas izmantošana, lai gan abi ir ietverti vienā laidienā. Atsevišķi augstas ietekmes ieraksti attiecas arī uz izkārtojuma apstrādi un avāriju ziņošanas komponentu. Šāds tvērums palīdz saprast, kāpēc viena CVE nosaukuma pārbaude nepasaka, vai vecāka pārlūka instalācija kopumā ir droša.

Vidējas ietekmes ieraksti paplašina skarto funkciju loku

Augstais kopējais vērtējums nenozīmē, ka visām uzskaitītajām kļūdām ir vienāda ietekme. Vidējas ietekmes ierakstos ir, piemēram, privilēģiju paaugstināšana WebExtensions komponentā, smilškastes apiešana Windows saskarnes komponentā un informācijas atklāšana PDF skatītājā. Turpat minēta drošības mazināšanas pasākuma apiešana uzņēmumu politiku komponentā. Atšķirīgais vērtējums ir svarīgs, salīdzinot defektus, taču arī šie labojumi ir daļa no pārlūka atjauninājuma.

Atmiņas lietošanas kļūdas parādās arī vidējas ietekmes ierakstos, tostarp animācijas, audio un video atskaņošanas, datu glabāšanas un WebAssembly komponentos. Katram iekšēji atklātajam atmiņas drošības defektam tagad piešķirts atsevišķs CVE, nevis vairāki šādi defekti apvienoti vienā ierakstā. Tādēļ garš CVE saraksts pats par sevi nav uzbrukumu skaita vai vienas konkrētas kļūdas bīstamības mērs. Izvērtējot risku, jāskatās gan ietekmes pakāpe, gan skartais komponents.

Kura Firefox versija jāinstalē

Parastajam darbvirsmas laidienam robeža ir Firefox 158. Kanādas Kiberdrošības centra 2026. gada 16. oktobra brīdinājumā par skartām nosauktas Firefox versijas pirms 158 un Firefox ESR versijas pirms 153.5 vai 115.43 attiecīgajās atbalsta līnijās; lietotāji un administratori aicināti ieviest nepieciešamos labojumus. Ja parastā Firefox versijas logā vēl redzams agrāks numurs, šā laidiena labojumi vēl nav ieviesti.

Firefox ESR ir atsevišķs ilgtermiņa atbalsta kanāls ar citādu numerāciju. Tā instalācijai nevajag gaidīt parastā laidiena numuru: vispirms jānoskaidro, kurai ESR līnijai tā pieder, un tad jāsalīdzina instalētā versija ar šīs līnijas laboto laidienu. Tas ir īpaši svarīgi organizācijās, kur pārvaldītajos datoros var darboties gan parastais Firefox, gan ESR.

Kā pārbaudīt, vai atjauninājums jau darbojas

Darbvirsmas Firefox atveriet izvēlni, pēc tam palīdzības sadaļu un „Par Firefox”. Atvērtajā logā redzams versijas numurs, un parasti vienlaikus sākas atjauninājumu meklēšana. Ja pārlūks lejupielādē jaunu laidienu, sagaidiet piedāvājumu to pārstartēt. Pēc pārstartēšanas atveriet to pašu logu vēlreiz: redzamais numurs ļauj atšķirt pabeigtu atjaunināšanu no lejupielādes, kas vēl gaida restartu.

Linux datorā, kur Firefox iegūts no distribūcijas pakotņu krātuves, atjauninājumu piegādā sistēmas pakotņu pārvaldnieks; pārlūka logā var nebūt tiešas instalēšanas iespējas. Savukārt no Mozilla vietnes instalēta kopija atjauninājumus pārbauda pašā pārlūkā. Pārvaldītās ierīcēs administratoram jāņem vērā arī pārlūki, kas pēc atjauninājuma lejupielādes vēl nav pārstartēti. Noteicošais ir faktiski palaistās versijas numurs — parastajā kanālā vismaz Firefox 158, bet ESR kanālā savai atbalsta līnijai labotais laidiens.

Lasiet arī:

Dalīties:

Saistītie raksti

Abonējiet mūsu jaunumu vēstuli

Saņemiet jaunākās Web3, MI un kriptovalūtu ziņas tieši savā e-pastā.

0