Vulnerabilidad crítica 0-Day en Firefox ¡Actualiza!

Si estás utilizando Firefox como tu software de navegación web en sistemas Windows, Linux o Mac, debes actualizar inmediatamente a la última versión disponible en el sitio web de Mozilla.

¿Por qué la urgencia? Mozilla ha publicado una alerta con nuevas versiones de Firefox 72.0.1 y Firefox ESR 68.4.1 para corregir una vulnerabilidad crítica de día cero, que está siendo explotada activamente por un grupo de piratas informáticos no revelado.

Etiquetada como ‘CVE-2019-17026 ‘, la vulnerabilidad es de clase «confusión de tipos’ y reside en el compilador IonMonkey just-in-time del motor JavaScript de Mozilla, SpiderMonkey.

El fallo de seguridad fue reportado a Mozilla por Qihoo 360 ATA. Sin revelar detalles de la vulnerabilidad ni de los ataques cibernéticos en curso que se han confirmado activos, Mozilla explica que «la información incorrecta en el compilador IonMonkey JIT para configurar los elementos de la matriz podría generar confusión de tipos».

Este tipo de vulnerabilidades se produce cuando el código no verifica correctamente objetos y los usa sin verificar su tipo, permitiendo a un atacante explotar remotamente el componente vulnerable del motor de JavaScript simplemente engañando a un usuario desprevenido para que visite una página web creada con fines malintencionados. El resultado potencial es la ejecución de código arbitrario en el sistema dentro del contexto de la aplicación, introducción de malware y control del equipo atacado.

Aunque Firefox, de forma predeterminada, instala automáticamente las actualizaciones cuando están disponibles y activa las nuevas versiones después de un reinicio, también permite realizar una actualización manual utilizando la funcionalidad incorporada navegando a Menú > Ayuda > Acerca de Mozilla Firefox.

Ante la peligrosidad de este tipo de vulnerabilidades de «día-cero» y la confirmación que hay exploits activados para aprovecharla, se recomienda a los usuarios de Windows, Linux o Mac asegurarse que las últimas versiones, Firefox 72.0.1 y Firefox ESR 68.4.1, estén instaladas. No se ha informado desde cuando se conoce esta vulnerabilidad, pero Mozilla suele resolver en muy breve plazo las que van surgiendo para el navegador de código abierto.