Mozilla ha lanzado una actualización de seguridad de emergencia para Firefox con el fin de corregir una vulnerabilidad crítica de tipo «use-after-free» que está siendo activamente utilizada en ataques.
La vulnerabilidad, catalogada como CVE-2024-9680 y descubierta por el investigador de ESET Damien Schaeffer, está relacionada con las líneas de tiempo de animación. Este fallo ocurre cuando un programa sigue utilizando memoria que ya ha sido liberada, lo que permite a los atacantes inyectar código malicioso en esa región de memoria.
Las líneas de tiempo de animación forman parte de la API de animaciones web de Firefox, la cual controla y sincroniza animaciones en las páginas web. Según el boletín de seguridad de Mozilla: «Un atacante podría ejecutar código en el proceso de contenido explotando un uso después de la liberación en las líneas de tiempo de animación«. Además, se confirma que esta vulnerabilidad está siendo aprovechada activamente.
El fallo afecta tanto a la versión estándar más reciente de Firefox como a las versiones de soporte extendido (ESR). Las correcciones están disponibles en las siguientes versiones, y se recomienda encarecidamente actualizar de inmediato:
- Firefox 131.0.2
- Firefox ESR 115.16.1
- Firefox ESR 128.3.1
Dado que CVE-2024-9680 está siendo ejecutado activamente y no hay información clara sobre las formas en que los usuarios están siendo atacados, es esencial realizar la actualización cuanto antes.
Para actualizar, abra Firefox, vaya a Configuración -> Ayuda -> Acerca de Firefox, y la actualización debería iniciarse automáticamente. Es necesario reiniciar el navegador para aplicar los cambios.
Hasta ahora en 2024, Mozilla solo ha tenido que abordar vulnerabilidad de día cero en Firefox en una ocasión.
