Mozilla vá các lỗ hổng nghiêm trọng cho phép thực thi mã từ xa

[WhiteHat Team]

Mozilla đã phát hành Firefox 142, khắc phục chín lỗ hổng bảo mật, trong đó có nhiều lỗ hổng nghiêm trọng có khả năng cho phép kẻ tấn công thoát khỏi sandbox của trình duyệt và vượt qua các cơ chế bảo vệ quan trọng. Bản cập nhật này bao gồm các lỗ hổng từ vấn đề tham chiếu bộ nhớ đến bypass chính sách cùng nguồn (same-origin policy), tiềm ẩn nguy cơ đánh cắp dữ liệu người dùng và xâm phạm an ninh hệ thống.

​

Sandbox Escape và Bypass bảo mật quan trọng​

Lỗ hổng nghiêm trọng nhất, CVE-2025-9179, liên quan đến việc thoát khỏi sandbox thông qua con trỏ không hợp lệ trong thành phần Audio/Video GMP (Gecko Media Plugin). Lỗ hổng này, được phát hiện bởi nhà nghiên cứu Oskar, cho phép kẻ tấn công gây tham chiếu bộ nhớ trong tiến trình GMP xử lý nội dung media được mã hóa.

Mặc dù tiến trình này hoạt động trong môi trường sandbox nghiêm ngặt, nó vẫn có đặc quyền khác với tiến trình nội dung tiêu chuẩn, tạo ra mối nguy đáng kể đối với kiến trúc bảo mật trình duyệt. Sandbox escape trong GMP mở ra khả năng thực thi mã tùy ý nếu kẻ tấn công kết hợp với các lỗ hổng khác.

Một lỗ hổng đáng chú ý khác là CVE-2025-9180, bypass same-origin policy ảnh hưởng đến thành phần Graphics Canvas2D. Được Tom Van Goethem phát hiện, lỗ hổng này phá vỡ cơ chế bảo vệ cơ bản của web, có thể cho phép trang web độc hại truy cập dữ liệu từ các domain khác. Vi phạm same-origin policy là mối nguy hiểm lớn, mở đường cho các cuộc tấn công cross-site và truy xuất dữ liệu trái phép.

Vấn đề an toàn bộ nhớ và động cơ JavaScript​

Bản cập nhật cũng khắc phục CVE-2025-9181, một lỗ hổng liên quan đến bộ nhớ chưa được khởi tạo trong JavaScript Engine, do Irvan Kurniawan phát hiện. Lỗ hổng này có thể dẫn đến rò rỉ thông tin hoặc hành vi bất ngờ trong môi trường thực thi JavaScript.

Ngoài ra, nhiều lỗ hổng an toàn bộ nhớ khác cũng được quan tâm trong bản vá. CVE-2025-9187 tồn tại trong Firefox 141 và Thunderbird 141, với bằng chứng về tham chiếu bộ nhớ có thể bị khai thác để thực thi mã tùy ý. CVE-2025-9184 và CVE-2025-9185 ảnh hưởng đến các phiên bản Firefox ESR và Thunderbird cũ, bao gồm cả ESR 115.26, cho thấy vấn đề an toàn bộ nhớ vẫn kéo dài trên các bản phát hành hỗ trợ mở rộng.

Cải tiến bảo mật bổ sung​

Bản vá còn giải quyết nhiều vấn đề ít nghiêm trọng hơn nhưng đáng lưu ý, như spoofing thanh địa chỉ trên Firefox desktop và Firefox Focus cho Android. CVE-2025-9182 liên quan đến tình trạng từ chối dịch vụ (DoS) trong thành phần Graphics WebRender, có thể gây treo trình duyệt do cạn bộ nhớ.

Sự kết hợp giữa khả năng thoát sandbox và bypass same-origin policy tạo ra một bề mặt tấn công đặc biệt nguy hiểm, có thể bị khai thác trong các cuộc tấn công phối hợp. Các chuyên gia an ninh khuyến nghị người dùng nâng cấp Firefox lên phiên bản 142 ngay lập tức để bảo vệ khỏi các lỗ hổng này. Doanh nghiệp nên ưu tiên kiểm thử và triển khai bản cập nhật trên toàn bộ hệ thống.

Mozilla, cùng với các nhà nghiên cứu bên ngoài và nhóm Mozilla Fuzzing, đã đóng vai trò quan trọng trong việc phát hiện và khắc phục các lỗ hổng này, minh chứng tầm quan trọng của hợp tác nghiên cứu bảo mật để duy trì an toàn cho trình duyệt.

Theo Cyber Press​