Después de parchear una vulnerabilidad crítica en Firefox 67.0.3 a principios de la semana pasada, Mozilla está advirtiendo a todos sus usuarios sobre una segunda vulnerabilidad de día cero que está siendo explotada activamente en Internet.
Esta vulnerabilidad, con identificador CVE-2019-11708 consiste en una escapada del sandbox, que si se encadena con la vulnerabilidad CVE-2019-11707, una confusión de tipos, permitiría a un atacante ejecutar código arbitrario en la máquina víctima sólo con visitar una web maliciosa.
El sandbox del navegador es un mecanismo de seguridad que aisle procesos de terceras partes en el navegador, evitando que se puedan dañar otras partes del sistema operativo.
Mozilla era consciente de la primera vulnerabilidad desde Abril, cuando un investigador de Google Project Zero lo reportó a la compañía. Pero se dieron cuenta de la segunda vulnerabilidad cuando los atacantes comenzaron a explotar ambas fallas conjuntamente contra empleados de Coinbase y otros usuarios de empresas de criptomonedas.
Ayer, Patrick Wardle, un experto en seguridad en macOS, publicó un reporte revelando que otra campaña diferente contra usuarios en posesión de criptomonedas está usando el mismo día cero en Firefox para instalar malware en macOS.
En este momento no está claro si los atacantes descubrieron la primera vulnerabilidad justo a tiempo cuando fue reportada a Mozilla o ganaron acceso a reportes de bugs clasificados de otra manera.
Firefox ha liberado la versión 67.0.4 para solucionar ambas vulnerabilidades.
