Firefox 136.0.4: aggiornamento critico contro fughe dalla sandbox su Windows

Mozilla ha rilasciato un aggiornamento urgente per il suo browser Firefox, correggendo una vulnerabilità critica identificata come CVE-2025-2857. La lacuna di sicurezza in questione permette agli aggressori di superare il perimetro della sandbox di Firefox su Windows, esponendo gli utenti ad attacchi che possono interessare il sistema operativo nel suo insieme.

La vulnerabilità, scoperta dallo sviluppatore Mozilla Andrew McCreight, è stata risolta con la versione 136.0.4 di Firefox e le versioni Extended Support Release (ESR) 115.21.1 e 128.8.1, destinate alle organizzazioni che necessitano di supporto a lungo termine.

Firefox: una falla di sicurezza simile a quella di Chrome

Sebbene Mozilla non abbia fornito dettagli tecnici sulla vulnerabilità, ha evidenziato che il problema è simile a un altro zero-day recentemente scoperto in Google Chrome. La vulnerabilità CVE-2025-2783, che ha interessato gli utenti Chrome, è stata sfruttata per aggirare le protezioni della sandbox e infettare i sistemi di aziende di elevato profilo con malware avanzato.

Mozilla ha dichiarato che la vulnerabilità individuata in Firefox è legata a un difetto nella gestione dei processi di comunicazione tra i diversi thread. Essa permette di agiare sul processo principale e far trapelare gli “handle” verso i processi secondari, bypassando così le protezioni della sandbox.

Stando a quanto riferito, la vulnerabilità CVE-2025-2857 di Firefox non è stata attivamente fruttata prima del rilascio dell’aggiornamento correttivo. Tuttavia, l’esistenza di exploit simili in altri contesti, come la campagna cyber-spionaggio Operation ForumTroll, che ha preso di mira organizzazioni governative e giornalistiche russe tramite email apparentemente innocue, dimostra la crescente minaccia rappresentata da questo genere di vulnerabilità.

La necessità di difese più efficaci

Le vulnerabilità di tipo sandbox escaping sono particolarmente preoccupanti poiché consentono agli attaccanti di superare le limitazioni imposte dalla sandbox, un ambiente protetto che isola i processi e limita l’azione del codice malevolo.

Negli ultimi anni, i difetti legati alle sandbox sono diventati uno dei principali obiettivi degli attacchi mirati, sfruttando i bug per eseguire codice dannoso al di fuori dei limiti stabiliti dal browser.

Mozilla e Google sono stati protagonisti di una serie di interventi correttivi a seguito di exploit simili, ma la velocità con cui sono scoperti e sfruttati nuovi bug indica una necessità crescente di rafforzare le misure di sicurezza in un componente sempre più cruciale qual è il browser Web.