Las recientes actualizaciones de Apple Safari y Google Chrome han sido noticia porque han corregido misteriosos exploits de día cero que ya se estaban utilizando activamente.
Sin embargo, esta semana también se ha realizado la última actualización de Firefox, que llegó como siempre el martes, cuatro semanas después del último lanzamiento programado con un número de versión completo.
No hemos escrito sobre esta actualización hasta ahora porque, bueno, porque la buena noticia es que aunque hubo un par de correcciones intrigantes e importantes con un nivel de Alto, no hubo ningún día cero, ni siquiera ningún error crítico este mes.
Errores de seguridad de la memoria
Como es habitual, el equipo de Mozilla asignó dos números CVE generales a los fallos que encontraron y corrigieron utilizando técnicas proactivas como el fuzzing, en el que el código con fallos se analiza automáticamente en busca de fallos, se documenta y se parchea sin esperar a que alguien descubra lo peligrosos que pueden ser esos fallos:
- CVE-2022-38477 cubre los fallos que afectan sólo a las compilaciones de Firefox basadas en el código de la versión 102 y posteriores, que es la base de código utilizada por la versión principal, ahora actualizada a 104.0, y la versión primaria Extended Support Release, que es ahora ESR 102.2.
- CVE-2022-38478 cubre errores adicionales que existen en el código de Firefox que se remonta a la versión 91, porque esa es la base de la versión secundaria Extended Support Release, que ahora es la ESR 91.13.
Como de costumbre, Mozilla es lo suficientemente claro como para hacer el simple pronunciamiento de que:
Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.
ESR desmitificado
Como hemos explicado antes, la versión de soporte extendido de Firefox está dirigida a los usuarios domésticos conservadores y a los administradores de sistemas corporativos que prefieren retrasar las actualizaciones de características y los cambios de funcionalidad, siempre y cuando no se pierdan las actualizaciones de seguridad por hacerlo.
Los números de versión de ESR se combinan para indicar qué conjunto de características tiene, además de cuántas actualizaciones de seguridad ha habido desde que salió esa versión.
Así, para ESR 102.2, tenemos 102+2 = 104 (la versión actual).
Del mismo modo, para la ESR 91.13, tenemos 91+13 = 104, para dejar claro que, aunque la versión 91 sigue con el conjunto de características de hace un año, está al día en cuanto a parches de seguridad.
La razón por la que hay dos ESRs en cualquier momento es para proporcionar un periodo sustancial de duplicación entre las versiones, de modo que nunca se está atascado con la adopción de nuevas características sólo para obtener correcciones de seguridad, siempre hay un solapamiento durante el cual se puede seguir utilizando la antigua ESR mientras se prueba la nueva ESR para prepararse para el cambio necesario en el futuro.
Fallos de suplantación de confianza
Las dos vulnerabilidades específicas y aparentemente relacionadas que obtuvieron la calificación alta este mes fueron
- CVE-2022-38472: falsificación de la barra de direcciones a través del manejo de errores XSLT.
- CVE-2022-38473: los documentos XSLT de origen cruzado habrían heredado los permisos del padre.
Como puedes imaginar, estos fallos significan que el contenido fraudulento obtenido de un sitio que parece inocente podría terminar con Firefox engañándote para que confíes en páginas web que no deberías.
En el primer fallo, Firefox podría ser engañado para presentar el contenido servido desde un sitio desconocido y no fiable como si viniera de una URL alojada en un servidor que ya conocías y en el que confiabas.
En el segundo fallo, el contenido web de un sitio X no fiable mostrado en una subventana (un IFRAME, abreviatura de inline frame) dentro de un sitio fiable podría terminar con permisos de seguridad “prestados” de la ventana principal Y que no esperarías que se pasaran (y que no concederías a sabiendas) a X, incluyendo el acceso a tu cámara web y micrófono.
¿Qué hacer?
En ordenadores de sobremesa o portátiles, ve a Ayuda > Acerca de Firefox para comprobar si estás actualizado.
Si no lo estás, la ventana “Acerca de” te pedirá que descargues y actives la actualización necesaria: buscas la 104.0, o la ESR 102.2, o la ESR 91.13, dependiendo de la serie de versiones que utilices.
En tu teléfono móvil, comprueba en Google Play o en la App Store de Apple que tienes la última versión.
En Linux y los BSD, si confías en la versión de Firefox empaquetada por tu distribución, comprueba con el fabricante de tu distribución la última versión que han publicado.
¡Feliz parcheo!