「 Firefoxにゼロデイ脆弱性、修正版がリリースされる」記事へのコメント

追記

[headless (41064)]

さらに20日、Mozillaはサンドボックス迂回の脆弱性(CVE-2019-11708 [mitre.org])を修正するFirefox 67.0.4/ESR 60.7.2をリリースした。この脆弱性は親プロセスと子プロセス間のIPCメッセージ「Prompt:Open」で渡されるパラメーターのチェックが不十分なことにより、侵害された子プロセスが選んだWebコンテンツをサンドボックス化されていない親プロセスが開いてしまうというもの。他の脆弱性と組み合わせることで任意コード実行が可能になるとのこと。攻撃が確認されているかどうかに関する記載はない(Mozillaのセキュリティアドバイザリ[2] [mozilla.org])。