Mise à jour de Firefox corrigeant des failles de sécurité

Mozilla a publié une mise à jour de Firefox qui corrige un grand nombre de failles de sécurité. Certaines de ces failles pourraient permettre à du code malveillant de sortir des processus isolés du navigateur, ce qui augmente potentiellement le risque d'attaques.

Les vulnérabilités comprennent des problèmes à haut risque

La mise à jour traite 167 vulnérabilités, dont 108 sont classées à haut risque. Ces failles touchent différentes parties du navigateur, notamment son moteur JavaScript, le rendu graphique et la gestion de la mémoire. Certaines de ces failles pourraient permettre à des attaquants de contourner les protections destinées à empêcher des pages web compromises d'accéder au système.

Vulnérabilités de contournement du bac à sable identifiées

Treize des vulnérabilités corrigées pourraient permettre à du code malveillant de contourner le bac à sable du navigateur. Firefox utilise un bac à sable pour isoler le contenu web dans des processus disposant de permissions limitées, ce qui réduit les dégâts en cas d'attaque potentielle. Ces failles auraient pu permettre à des sites web compromis d'accéder à davantage de ressources système que prévu.

Des problèmes liés à la mémoire dominent la mise à jour

Un nombre important de vulnérabilités concernent la gestion de la mémoire, en particulier 97 erreurs de type « use-after-free ». Celles-ci se produisent lorsqu'un programme réutilise une zone mémoire déjà libérée, ce qui peut entraîner des plantages ou permettre l'exécution de code malveillant. D'autres problèmes incluent des élévations de privilèges et des contournements de la politique de même origine, qui empêche normalement les sites web d'accéder aux données d'autres sites.

Mozilla modifie son processus de signalement des failles

Mozilla a changé sa manière de signaler les failles de sécurité, en attribuant désormais un identifiant CVE distinct à chaque vulnérabilité liée à la mémoire découverte en interne. Ce changement explique le nombre plus élevé de vulnérabilités signalées. Les mises à jour de Firefox sont généralement automatiques, mais les utilisateurs peuvent aussi rechercher des mises à jour manuellement via le menu des paramètres.

Les versions à support étendu reçoivent elles aussi des correctifs

Firefox ESR 153.6.0 inclut des correctifs pour 145 vulnérabilités, tandis que ESR 115.44.0 en traite 80. Les deux versions continuent de recevoir des mises à jour, ESR 115.44.0 restant prise en charge sur les anciennes versions de Windows et de macOS jusqu'en mars 2027. Les utilisateurs d'Android reçoivent les mises à jour via le Google Play Store.