Адміністраторам та розробникам вебзастосунків слід врахувати це оновлення Firefox для забезпечення ізоляції дозволів між різними джерелами вмісту. Витік дозволів через вбудовані елементи може призвести до несанкціонованого доступу до конфіденційних даних користувача.
29 жовтня 2024 року вийшов Firefox 132, у якому було усунуто вразливість CVE-2024-10458. Проблема полягала в потенційному витоку дозволів від довіреного сайту до недовіреного через використання елементів embed або object. Це могло дозволити зовнішньому вмісту отримати доступ до ресурсів, на які він не мав прав, що було виправлено у цій версії браузера.
Рекомендації:
- Оновіть браузери Firefox до версії 132 або новішої для всіх користувачів.
- При розробці вебзастосунків використовуйте сучасні механізми ізоляції, такі як
sandboxдля iframe, замість застарілих елементівembedабоobject, де це можливо. - Перевірте налаштування Content Security Policy (CSP) для обмеження джерел, з яких можуть завантажуватися вбудовані об'єкти.
Що це означає для бізнесу
Витік дозволів у Firefox через елементи embed та object створює ризик несанкціонованого доступу до конфіденційних даних користувача з боку стороннього вмісту. Для розробників вебзастосунків це означає необхідність переходу на сучасні методи ізоляції, такі як sandbox для iframe. Оновлення браузера до версії 132 є необхідним кроком для забезпечення належної ізоляції між різними джерелами вмісту.
Практичний крок: Оновіть браузери Firefox до версії 132 або новішої. Зверніться до Softline для проведення аудиту безпеки ваших вебзастосунків та впровадження сучасних політик Content Security Policy (CSP), що допоможе захистити користувачів від витоку даних.
Використані джерела
- mozilla.org (mozilla.org)