Mozillaは、先日のハッキング大会「Pwn2Own Berlin 2025」で実証されたFirefoxのゼロデイ脆弱性2件に対処するため、緊急セキュリティアップデートをリリースした。
この修正は、Firefox on DesktopとAndroid、および2つの拡張サポートリリース（ESR）を含むもので、2つ目の脆弱性が示された土曜日のPwn2Ownの終了からわずか数時間後に行われた。
CVE-2025-4918で追跡されている最初の欠陥は、Promiseオブジェクトを解決する際のJavaScriptエンジンにおける境界外読み取り/書き込みの問題である。
この欠陥は、パロアルトネットワークスのセキュリティ研究者であるEdouard Bochin氏とTao Yan氏によって、コンペティションの2日目に実証された。
つ目の欠陥であるCVE-2025-4919は、配列のインデックスサイズを混同することで、攻撃者がJavaScriptオブジェクトに対して境界外読み書き（out-of-bounds read/write）を実行できるようにするものです。
この欠陥を発見したのはセキュリティ研究者のマンフレッド・ポール氏で、彼はプログラムのレンダラー内で不正アクセスを行い、その過程で5万ドルを獲得した。
この欠陥はFirefoxにとって重大なリスクであり、Mozillaはこの欠陥を「クリティカル（critical）」と評価しているが、ソフトウェア・ベンダーは、どちらの研究者もサンドボックスからの脱出ができなかったことを強調し、この面での標的型強化を挙げている。
「例年とは異なり、今年はどちらの参加グループもサンドボックスから脱出することができませんでした。
“我々は、このような攻撃の広い範囲を無力化したFirefoxのサンドボックスへの最近のアーキテクチャの改善に起因していることを口頭で確認している。”
この2つの欠陥がPwn2Own以外で悪用された形跡はないものの、この2つの欠陥が公開されたことで、近いうちに実際の攻撃に拍車がかかる可能性がある。
このリスクを軽減するため、Mozillaは世界中から集まった多様な「タスクフォース」と協力し、実証されたエクスプロイトに対する修正プログラムを開発し、テストし、できるだけ早くセキュリティアップデートを配布するために奔走した。
Firefoxユーザーは、バージョン138.0.4、ESR 128.10.1、またはESR 115.23.1にアップグレードすることを推奨する。
Pwn2Own Berlin 2025は土曜日に終了し、100万ドル以上の賞金が支払われ、STAR Labs SGチームが「Master or Pwn」のタイトルを獲得しました。
昨年のPwn2Own Vancouver 2024でも2つのFirefoxのゼロデイが実証され、Mozillaは翌日それらを修正した。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .
攻撃の93%を支えるMITRE ATT&CK©テクニック・トップ10
1,400万件の悪意のあるアクションの分析に基づき、攻撃の93%を支えるMITRE ATT&CKテクニックのトップ10とその防御方法をご覧ください。
Comments