Firefox 159 est là et corrige 167 failles de sécurité : à vos mises à jour !

Mozilla vient de mettre à jour Firefox pour corriger une série de vulnérabilités, dont certaines pouvaient permettre à du code malveillant de s'échapper des processus isolés du navigateur. Les correctifs sont disponibles sur ordinateur et Android, sans qu'aucune exploitation active ait été signalée.

Depuis septembre, Mozilla publie une nouvelle version de Firefox tous les quinze jours, et à en juger par la dernière fournée de patchs livrée avec la version 159, on ne s’en plaindra pas. La fondation vient en effet de corriger 167 vulnérabilités, dont 108 présentant un risque élevé. Du moteur JavaScript au rendu graphique en passant par la gestion de la mémoire, les failles touchent de nombreux composants du navigateur, jusque dans les protections censées empêcher une page web compromise d’accéder au reste du système. Vous savez ce qu’il vous reste à faire.

Treize failles qui pouvaient faire céder la sandbox

Le point le plus sensible concerne treize vulnérabilités de type sandbox escape. Pour limiter les dégâts en cas d'attaque, Firefox exécute le contenu des pages web dans des processus isolés aux permissions restreintes. Même si un site piégé parvient à exploiter une faille, cette séparation doit l'empêcher d'accéder librement aux ressources de l'ordinateur.

Les défauts corrigés permettaient justement de contourner ces restrictions, notamment à travers des composants chargés de la navigation ou de la gestion des formulaires. Une sortie de sandbox ne donne pas automatiquement le contrôle du système, mais elle peut considérablement aggraver une première compromission, par exemple lorsqu'un attaquant est déjà parvenu à exécuter du code malveillant. Mozilla ne mentionne toutefois aucune exploitation active de ces failles.

Des erreurs de mémoire à la pelle, mais un décompte à relativiser

Les problèmes de mémoire occupent également une belle place dans le bulletin, avec 97 vulnérabilités de type use-after-free. Ces erreurs surviennent lorsqu'un programme réutilise une zone de mémoire déjà libérée et peuvent, selon les circonstances, provoquer un plantage ou ouvrir la voie à l'exécution de code malveillant.

Mozilla a par ailleurs corrigé des failles d'élévation de privilèges, qui pouvaient accorder à certains processus plus de droits que prévu, ainsi que des contournements de la politique de même origine, censée empêcher un site d'accéder aux données d'un autre. D'autres vulnérabilités risquaient d'exposer des informations sensibles, notamment dans les composants chargés des communications réseau et du traitement audio-vidéo.

À noter que la fondation a récemment revu sa façon de publier ses avis de sécurité et attribue désormais un identifiant CVE distinct à chaque faille de sécurité mémoire découverte en interne, alors qu'elle pouvait auparavant en regrouper plusieurs sous une même référence. Une évolution qui contribue à expliquer le nombre particulièrement élevé de vulnérabilités recensées dans Firefox.

Firefox installe normalement ses mises à jour de façon automatique, mais vous pouvez aussi prendre les devants en ouvrant le menu des réglages > Paramètres > À propos de Firefox. Le navigateur recherche alors la dernière version disponible et propose un redémarrage pour achever l'installation. Sur Android, la mise à jour passe par le Play Store.

Les versions à support prolongé ont également reçu leurs correctifs : Firefox ESR 153.6.0 comble 145 vulnérabilités, contre 80 pour Firefox ESR 115.44.0. Cette dernière continue de recevoir des mises à jour de sécurité sur Windows 7, 8 et 8.1 ainsi que sur macOS 10.12 à 10.14, Mozilla ayant prolongé sa maintenance jusqu'en mars 2027.