Várias vulnerabilidades nos produtos Mozilla podem permitir a execução arbitrária de código

Várias vulnerabilidades foram descobertas nos produtos Mozilla, a mais grave das quais pode permitir a execução arbitrária de código.

• O Mozilla Firefox é um navegador da web usado para acessar a Internet.
• O Mozilla Firefox ESR é uma versão do navegador da Web destinada a ser implantada em grandes organizações.
• Mozilla Thunderbird é um cliente de e-mail.
• O Mozilla Thunderbird ESR é uma versão do cliente de e-mail destinada a ser implantada em grandes organizações.

A exploração bem-sucedida da mais grave dessas vulnerabilidades pode permitir a execução arbitrária de código. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.

Várias vulnerabilidades foram descobertas nos produtos Mozilla, a mais grave das quais pode permitir a execução arbitrária de código. Os detalhes dessas vulnerabilidades são os seguintes:

Tática:Acesso inicial(TA0001):

Técnica:Compromisso drive-by(T1189)

• Escalonamento de privilégios no Firefox Updater. (CVE-2025-2817)
• Corrupção de memória do atributo de sombreamento WebGL no Firefox para macOS. (CVE-2025-4082)
• Desvio de isolamento de processo usando “javascript. (CVE-2025-4083)
• Bugs de segurança de memória corrigidos no Firefox 138 e Thunderbird 138. (CVE-2025-4092)
• Bug de segurança de memória corrigido no Firefox ESR 128.10 e Thunderbird 128.10. (CVE-2025-4093)

Vulnerabilidades adicionais de menor gravidade incluem:

• Potencial vazamento de informações e escalonamento de privilégios no UITour ator. (CVE-2025-4085)
• O nome do arquivo especialmente criado pode ser usado para obscurecer o tipo de download. (CVE-2025-4086)
• Acesso de atributo não seguro durante a análise de XPath. (CVE-2025-4087)
• Falsificação de solicitação entre sites por meio de redirecionamentos de API de acesso ao armazenamento. (CVE-2025-4088)
• Execução potencial de código local no comando “copiar como cURL”. (CVE-2025-4089, CVE-2025-4084)
• Caminhos de biblioteca vazados no Firefox para Android. (CVE-2025-4090)
• Bugs de segurança de memória corrigidos no Firefox 138, Thunderbird 138, Firefox ESR 128.10 e Thunderbird 128.10. (CVE-2025-4091)

A exploração bem-sucedida da mais grave dessas vulnerabilidades pode permitir a execução arbitrária de código. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.

Recomendamos que as seguintes ações sejam tomadas:

• Aplique as atualizações apropriadas fornecidas pela Mozilla aos sistemas vulneráveis imediatamente após o teste apropriado. (M1051:Atualizar software)
• Salvaguarda 7.1: Estabelecer e manter um processo de gerenciamento de vulnerabilidades: Estabelecer e manter um processo de gerenciamento de vulnerabilidades documentado para ativos corporativos. Revise e atualize a documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Salvaguarda.
• Salvaguarda 7.4: Execute o gerenciamento automatizado de patches de aplicativos: execute atualizações de aplicativos em ativos corporativos por meio do gerenciamento automatizado de patches mensalmente ou com mais frequência.
• Salvaguarda 7.7: Corrigir vulnerabilidades detectadas:Corrigir vulnerabilidades detectadas no software por meio de processos e ferramentas mensalmente, ou com mais frequência, com base no processo de correção.
• Salvaguarda 9.1: Garantir o uso apenas de navegadores e clientes de e-mail totalmente suportados: Certifique-se de que apenas navegadores e clientes de e-mail totalmente suportados tenham permissão para executar na empresa, usando apenas a versão mais recente de navegadores e clientes de e-mail fornecidos pelo fornecedor.
• Aplique o Princípio do Menor Privilégio a todos os sistemas e serviços. Execute todos os softwares como um usuário sem privilégios (sem privilégios administrativos) para diminuir os efeitos de um ataque bem-sucedido.(M1026:Gerenciamento de contas privilegiadas)
• Salvaguarda 4.7: Gerenciar contas padrão em ativos e software corporativos:Gerencie contas padrão em ativos e software corporativos, como contas raiz, administrador e outras contas de fornecedores pré-configuradas. Exemplos de implementações podem incluir: desabilitar contas padrão ou torná-las inutilizáveis.
• Salvaguarda 5.4: Restringir privilégios de administrador a contas de administrador dedicadas:Restringir privilégios de administrador a contas de administrador dedicadas em ativos corporativos. Realize atividades gerais de computação, como navegação na Internet, e-mail e uso do pacote de produtividade, a partir da conta principal e sem privilégios do usuário.
• Use recursos para detectar e bloquear condições que possam levar ou ser indicativas da ocorrência de uma exploração de software. (M1050:Proteção contra exploits)
• Salvaguarda 10.5: Habilitar recursos antiexploração:Habilite recursos antiexploração em ativos e software corporativos, sempre que possível, como® Microsoft Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG) ou Apple® System Integrity Protection (SIP) e Gatekeeper™.
• Restringir o uso de determinados sites, bloquear downloads/anexos, bloquear JavaScript, restringir extensões de navegador, etc.(M1021:Restringir conteúdo baseado na Web)
• Salvaguarda 9.2: Use serviços de filtragem DNS:Use serviços de filtragem DNS em todos os ativos corporativos para bloquear o acesso a domínios mal-intencionados conhecidos.
• Salvaguarda 9.3: Manter e aplicar filtros de URL baseados em rede:Aplicar e atualizar filtros de URL baseados em rede para limitar a conexão de um ativo corporativo a sites potencialmente mal-intencionados ou não aprovados. Exemplos de implementações incluem filtragem baseada em categoria, filtragem baseada em reputação ou por meio do uso de listas de bloqueio. Aplique filtros para todos os ativos corporativos.
• Salvaguarda 9.6: Bloquear tipos de arquivos desnecessários:Bloqueie tipos de arquivos desnecessários que tentam entrar no gateway de e-mail da empresa.

• Bloqueie a execução de código em um sistema por meio de controle de aplicativos e/ou bloqueio de script. (M1038:Prevenção de execução)
• Salvaguarda 2.5: Lista de permissões Software autorizado:Use controles técnicos, como lista de permissões de aplicativos, para garantir que apenas software autorizado possa ser executado ou acessado. Reavalie semestralmente ou com mais frequência.
• Salvaguarda 2.6: Lista de permissões de bibliotecas autorizadas:Use controles técnicos para garantir que apenas bibliotecas de software autorizadas, como arquivos específicos de .dll, .ocx, .so etc., tenham permissão para carregar em um processo do sistema. Bloqueie o carregamento de bibliotecas não autorizadas em um processo do sistema. Reavalie semestralmente ou com mais frequência.
• Salvaguarda 2.7: Lista de permissões de scripts autorizados:Use controles técnicos, como assinaturas digitais e controle de versão, para garantir que apenas scripts autorizados, como arquivos .ps1, .py etc. específicos, tenham permissão para serem executados. Bloqueie a execução de scripts não autorizados. Reavalie semestralmente ou com mais frequência.
• Use recursos para evitar que padrões de comportamento suspeitos ocorram em sistemas de endpoint. Isso pode incluir comportamento suspeito de processo, arquivo, chamada de API etc. (M1040:Prevenção de comportamento no endpoint)
• Salvaguarda 13.2: Implantar uma solução de detecção de intrusão baseada em host: Implantar uma solução de detecção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte.
• Salvaguarda 13.7: Implantar uma solução de prevenção de intrusão baseada em host:Implantar uma solução de prevenção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte. Exemplos de implementações incluem o uso de um cliente EDR (Detecção e Resposta de Ponto de Extremidade) ou agente IPS baseado em host.
• Informe e eduque os usuários sobre as ameaças representadas por links de hipertexto contidos em e-mails ou anexos, especialmente de fontes não confiáveis. Lembre os usuários de não visitar sites não confiáveis ou seguir links fornecidos por desconhecidos ou fontes não confiáveis. (M1017:Treinamento de usuários)
• Salvaguarda 14.1: Estabelecer e manter um programa de conscientização de segurança:Estabelecer e manter um programa de conscientização de segurança. O objetivo de um programa de conscientização de segurança é educar a força de trabalho da empresa sobre como interagir com ativos e dados corporativos de maneira segura. Realize treinamento na contratação e, no mínimo, anualmente. Revise e atualize o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Proteção.
• Salvaguarda 14.2: Treine os membros da força de trabalho para reconhecer ataques de engenharia social: Treine os membros da força de trabalho para reconhecer ataques de engenharia social, como phishing, pré-mensagens de texto e uso não autorizado.