Mozilla hat nach eigenen Angaben Firefox 154 für den Stable-Kanal veröffentlicht. Das Update behebt 58 CVEs, darunter 20 Schwachstellen mit hohem Schweregrad. Etwa die Hälfte dieser schweren Fehler sind Speicherfehler, die sich laut Mozilla für die Ausführung von Code hätten ausnutzen lassen können.
Zu den behobenen schwerwiegenden Problemen zählen sechs Use-after-free-Fehler, sechs Schwachstellen zur Rechteausweitung, zwei Fehler zur Offenlegung von Informationen, eine Lücke zum Ausbruch aus der Sandbox, ein Problem bei der Site Isolation sowie eine Schwäche zur Umgehung von Schutzmaßnahmen.
In seinem Sicherheitshinweis erklärt Mozilla außerdem, dass das Update mehrere intern entdeckte Fehler mit Speicherbeschädigung und weitere sicherheitsrelevante Defekte beseitigt, die hätten ausgenutzt werden können. Diese Probleme wurden zusammen drei CVEs zugewiesen.
Ebenfalls am Dienstag kündigte Mozilla Thunderbird 154 an. Die neue Version schließt 55 Schwachstellen. Zusätzlich wurden Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 140.14 und Thunderbird 153.1 veröffentlicht; sie enthalten Korrekturen für Dutzende dieser Sicherheitsmängel.
Google hat zeitgleich Chrome 151 bereitgestellt. Das Update behebt 15 Schwachstellen, darunter zwei als kritisch eingestufte Buffer-Overflow-Lücken in WebGL und Dawn.
Die übrigen 13 Fehler stuft Google als schwerwiegend ein. Dabei handelt es sich um Probleme durch fehlerhafte Implementierung, unsicheres Folgen von Verknüpfungen, Race Conditions, fehlerhafte Referenzauflösung, Use-after-free, die Nutzung nicht initialisierter Ressourcen, Buffer Overflow, fehlerhafte Berechnungen, Informationsabfluss und Type Confusion.
Nach Angaben von Google hat das Unternehmen 11 dieser Sicherheitslücken selbst gefunden. Die übrigen vier wurden von externen Sicherheitsforschern entdeckt und gemeldet. Zu den vorgesehenen Bug-Bounty-Auszahlungen hat Google bislang keine Angaben gemacht.
Der aktuelle Chrome-Build wird laut Google für Nutzer als Version 151.0.7922.169 beziehungsweise 151.0.7922.170 für Windows und macOS ausgerollt. Unter Linux erscheint die Aktualisierung als Version 151.0.7922.169.