Mozilla đã phát hành các bản cập nhật bảo mật khẩn cấp cho Firefox để khắc phục hai lỗ hổng zero-day nghiêm trọng gần đây đã được trình diễn tại cuộc thi hack Pwn2Own ở Berlin. Những lỗ hổng này đã bị khai thác trong các cuộc tấn công thực tế, khiến bản cập nhật này đặc biệt khẩn cấp đối với tất cả người dùng Firefox.
Các Lỗ Hổng Nghiêm Trọng
Hai lỗ hổng bảo mật, được theo dõi dưới mã CVE-2025-4918 và CVE-2025-4919, đều được phân loại là lỗ hổng truy cập ngoài giới hạn nghiêm trọng trong động cơ JavaScript của Firefox. Lỗ hổng đầu tiên, được phát hiện bởi Edouard Bochin và Tao Yan từ Palo Alto Networks, cho phép kẻ tấn công thực hiện đọc hoặc ghi ngoài giới hạn trên đối tượng JavaScript Promise. Lỗ hổng thứ hai, được xác định bởi Manfred Paul, cho phép truy cập ngoài giới hạn tương tự khi tối ưu hóa tổng tuyến tính, có khả năng cho phép kẻ tấn công thao túng các đối tượng JavaScript bằng cách gây nhầm lẫn kích thước chỉ mục mảng.
Chi tiết lỗ hổng:
- CVE-2025-4918: Lỗ hổng truy cập ngoài vùng giới hạn trong công cụ JavaScript của Firefox ảnh hưởng đến đối tượng JavaScript Promise
- CVE-2025-4919: Truy cập ngoài vùng giới hạn khi tối ưu hóa tổng tuyến tính
- Cả hai lỗ hổng được Mozilla xếp vào mức "Nghiêm trọng"
- Mỗi phát hiện lỗ hổng được thưởng 50.000 đô la tại Pwn2Own Berlin
Tác Động Thực Tế
Những lỗ hổng này đặc biệt đáng lo ngại vì chúng đòi hỏi rất ít sự tương tác của người dùng. Kẻ tấn công có thể tiềm ẩn khả năng thực thi mã độc đơn giản bằng cách lừa người dùng truy cập vào các trang web bị xâm phạm. Cả hai lỗ hổng đều đã được trình diễn trực tiếp tại hội nghị Pwn2Own Berlin, với mỗi nhà nghiên cứu nhận được 50.000 đô la cho những phát hiện của họ. Tính chất công khai của những trình diễn này làm tăng nguy cơ khai thác rộng rãi, vì các chi tiết kỹ thuật hiện đã có sẵn cho những kẻ tấn công tiềm năng.
Các Phiên Bản Bị Ảnh Hưởng
Bản cập nhật bảo mật giải quyết các lỗ hổng trong nhiều phiên bản Firefox bao gồm trình duyệt Firefox tiêu chuẩn (các phiên bản trước 138.0.4), Firefox Extended Support Release (ESR) các phiên bản trước 128.10.1 và 115.23.1, và Firefox cho Android. Mozilla đã nhanh chóng vá những vấn đề này sau khi chúng được tiết lộ tại cuộc thi hack.
Các phiên bản Firefox bị ảnh hưởng:
- Firefox trước phiên bản 138.0.4
- Firefox Extended Support Release (ESR) trước phiên bản 128.10.1
- Firefox ESR trước phiên bản 115.23.1
- Firefox cho Android
Điểm Sáng Trong Kiến Trúc Bảo Mật Của Firefox
Mặc dù những lỗ hổng này nghiêm trọng, Mozilla lưu ý rằng không lỗ hổng nào có thể phá vỡ sandbox bảo mật của Firefox. Đây là một ranh giới bảo mật quan trọng cần phải bị phá vỡ để kẻ tấn công có thể kiểm soát hoàn toàn thiết bị của người dùng. Điều này thể hiện sự cải tiến so với các cuộc thi Pwn2Own trước đây khi sandbox của Firefox đã bị xâm phạm thành công.
Cách Cập Nhật
Người dùng được khuyến nghị mạnh mẽ cập nhật trình duyệt Firefox của họ ngay lập tức. Bản cập nhật có thể được truy cập thông qua menu Firefox bằng cách chọn Trợ giúp và sau đó Giới thiệu về Firefox trên Windows, hoặc bằng cách chọn Giới thiệu về Firefox trực tiếp từ menu Firefox trên macOS. Trình duyệt sẽ tự động kiểm tra các bản cập nhật và nhắc người dùng khởi động lại sau khi cài đặt bản cập nhật.
Bối Cảnh Rộng Hơn Về Bảo Mật Trình Duyệt
Bản cập nhật Firefox này xuất hiện trong bối cảnh có một loạt các bản vá khẩn cấp từ các nhà phát triển trình duyệt lớn. Apple gần đây đã giải quyết hai lỗ hổng bị khai thác, và Google đã phát hành các bản vá quan trọng cho Chrome, bao gồm một lỗ hổng mức độ nghiêm trọng cao (CVE-2025-4664) cho phép chiếm quyền kiểm soát tài khoản hoàn toàn. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) xác nhận rằng lỗ hổng Chrome đang được khai thác tích cực trong các cuộc tấn công.
Tầm Quan Trọng Của Việc Cập Nhật Kịp Thời
Với các cuộc tấn công qua trình duyệt ngày càng trở nên tinh vi, việc cập nhật phần mềm trở nên quan trọng hơn bao giờ hết. Những lỗ hổng zero-day này nhấn mạnh cuộc chơi mèo vờn chuột đang diễn ra giữa các nhà nghiên cứu bảo mật và tác nhân độc hại. Bằng cách cài đặt kịp thời các bản cập nhật bảo mật, người dùng có thể giảm đáng kể nguy cơ trở thành nạn nhân của những cuộc khai thác này.