Mozilla 緊急修補 Firefox、Thunderbird 已遭用於駭侵攻擊的 0-day 漏洞 @ 台灣電腦網路危機處理暨協調中心-TWCERT/CC

Mozilla 日前針對一個證實已遭用於駭侵攻擊的 Firefox、Thunderbird 0-day 嚴重漏洞推出緊急修補更新，使用者應立即套用。

該 0-day 漏洞的 CVE 編號為 CVE-2023-4863，是存於 WebP 程式碼儲存庫 (libwebp) 中的一個 heap 緩衝區在處理內容時發生的溢位錯誤；駭侵者可誘使受害者開啟特製的 WebP 影像檔案，藉以觸發該漏洞，造成系統崩潰，即可執行任意程式碼。

CVE-2023-4863 漏洞的 CVSS 漏洞危險程度評分達 8.8 分（滿分為 10 分），危險程度評級為「高」。Mozilla 也在對外發表的資安通報中指出，該公司已獲悉此漏洞已遭駭侵者用於攻擊活動的情資。

針對此一高風險 0-day 漏洞，Mozilla 推出 Firefox 117.0.1、Firefox ESR 115.2.1、Firefox ESR 102.15.1、Thunderbird 102.15.1 與 Thunderbird 115.2.2 新版。

此外，雖然 CVE-2023-4863 主要是發生在 Mozilla 推出的瀏覽器相關產品，但受此漏洞影響的軟體並不限於 Firefox 與 Thunderbird 等 Mozilla 產品；只要使用了 WebP 程式庫程式碼的應用程式，都含有此漏洞，包括 Google Chrome 瀏覽器在內。

Google Chrome 也已在近日針對 CVE-2023-4863 推出更新修補，但目前僅限於 beta 測試版；要再過數日到數星期，這個更新才會推送到一般使用者使用的 Stable 版本和 Extended Stable 版本。

建議上述 Mozilla 軟體的使用者應立即透過系統更新程序，更新到最新版本，以免遭到駭侵者透過未修補的已知漏洞發動攻擊得逞。