Mozilla Firefox UAF代码执行漏洞CVE-2024-9680

Firefox浏览器中文俗称为火狐浏览器，是一款由Mozilla基金会与开放源代码社区共同开，免费自由及开放源代码的网页浏览器。

一、基本情况

Firefox 浏览器作为一款免费开源的跨平台浏览器，其支持Windows、Mac及Linux平台等桌面版、Android 版、iOS版等多种版本。

近期，Mozilla 基金会发布紧急安全更新修复Firefox浏览器一个释放后重引用漏洞，漏洞标记为CVE-2024-9680，CVSS评分9.8。

二、漏洞分析

CVE-2024-9680漏洞被描述为动画时间轴组件中的释放后使用错误，是影响Firefox及Firefox扩展支持版本（ESR) 关键安全漏洞。

Mozilla 在当地时间周三的一份安全公告中表示，攻击者能够通过利用动画时间线中的释放后使用，在内容流程中实现代码执行。

Animation timelines（动画时间线/轴）是Firefox浏览器Web Animations API的重要机制，允许开发者精确地控制和同步网页动画。

简单来说，就是Mozilla Firefox 和 Firefox ESR 在Animation timelines 中存在UAF（Use-After-Free）漏洞，漏洞已被广泛利用。

攻击者可能通过诱导用户访包含特定脚本或代码的恶意网页来利用该漏洞，成功利用可能导致浏览器崩溃、数据泄露或代码执行。

这就意味着，攻击者能够通过利用动画时间线中的释放后使用来在内容进程中实现代码执行，因此建议用户及时更新以抵御威胁。

来自斯洛伐克公司 ESET 的安全研究人员 Damien Schaeffer 被认为发现并向官方报告了该漏洞，目前该漏洞已被发现在野利用。

目前暂时没有关于该漏洞如何被利用以及其背后的攻击者身份的详细信息，这就意味着未来此类远程代码执行漏洞可能被武器化。

当然，攻击者也可能会通过虚假网站放置诱导链接进行钓鱼，引诱没有修复漏洞的用户点击下载，从而实现漏洞利用和攻击行为。

三、漏洞影响

Firefox < 131.0.2

Firefox ESR < 115.16.1

Firefox ESR < 128.3.1

四、防护措施 

目前该漏洞已经修复，受影响用户需升级到如下版本：

Firefox >= 131.0.2

Firefox ESR >= 115.16.1

Firefox ESR >= 128.3.1

五、参考链接

https://www.mozilla.org/en-US/security/advisories/mfsa2024-51/

https://nvd.nist.gov/vuln/detail/CVE-2024-9680