MOZILLA FIREFOX RECOMIENDA ACTUALIZAR SU NAVEGADOR WEB PARA MITIGAR VULNERABILIDADES

17/03/2023

BOLETÍN NRO 2023-178

Recientemente Mozilla ha publicado actualizaciones de seguridad en su navegador para mitigar vulnerabilidades del tipo Zero Day.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: CVE-2023-28161, CVE-2023-28163		Severidad:   CRÍTICA
Amenaza: ---		Categoría: Actualización

De los CVE informados, a siete se les ha asignado una calificación de gravedad alta. Tres de ellas solo afectan a Firefox para Android y pueden permitir a un atacante ocultar las notificaciones a pantalla completa, lo que puede llevar a confusión del usuario o a ataques de suplantación de identidad y abrir aplicaciones de terceros sin que se le solicite.

Otros fallos de alta gravedad parchados con las últimas actualizaciones de Firefox pueden llevar a la ejecución arbitraria de código y a la revelación de información sensible.

Una empresa de ciberseguridad ha analizado los parches y ha destacado dos vulnerabilidades: 

La vulnerabilidad CVE-2023-28161 se trata sobre los permisos concedidos una sola vez a un archivo local que se extenderían a otros archivos locales cargados en la misma pestaña. Con este fallo, si abrías un archivo local (como un contenido HTML descargado) que quería acceder, por ejemplo, a tu webcam, cualquier otro archivo local que abrieras después heredaría mágicamente ese permiso de acceso sin preguntarte. Como Mozilla señaló, esto podría dar lugar a problemas si estuvieras mirando a través de una colección de elementos en tu directorio de descargas, las advertencias de permiso de acceso que verías dependerían del orden en que abrieras los archivos.

Por otra parte, el CVE-2023-28163 es sobre el cuadro de diálogo Guardar como de Windows que resolvía variables de entorno. En los comandos de Windows, algunas secuencias de caracteres reciben un tratamiento especial, como %USERNAME%, que se convierte en el nombre del usuario conectado en ese momento, o en %PUBLIC%, que denota un directorio compartido, normalmente en C:\Usuarios. Un sitio web malicioso podría utilizar esto como una forma de engañarle para que apruebe la descarga de archivo que parece inofensivo, pero que se encuentra en un directorio diferente al de descargas. 

Las agencias de ciberseguridad de Canadá y Estados Unidos han informado a los usuarios sobre los últimos parches de Firefox y han recomendado aplicar las actualizaciones. 

Además, Mozilla anunció esta semana que está estudiando la posibilidad de que la herramienta de enmascaramiento de correo electrónico y número de teléfono Firefox Relay esté disponible directamente en Firefox.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Antes aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Mozilla Patches High-Severity Vulnerabilities With Release of Firefox 111
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​