Mozilla lanzó 10 parches para tres versiones de su navegador Firefox, cinco de ellas consideradas críticas, ya que pueden ser utilizadas para instalar código malicioso de manera remota.

El US-CERT advirtió que los errores en el software podrían permitir a un atacante ejecutar código arbitrario, traspasar restricciones de acceso, provocar denegación de servicio u obtener información confidencial.

Los productos de Mozilla afectados son Firefox 25, Firefox ESR 24.1, Firefox ESR 17.9.10, Thunderbird 24.1, Thunderbird ESR 17.0.10 y Seamonkey 2.22.

Entre las fallas corregidas se encuentran varios errores de seguridad en el manejo de memoria por parte del motor del navegador, el cual se encuentra también en Thunderbird y Seamonkey.

De acuerdo al aviso de Mozilla, dichos errores, identificados en el aviso de seguridad MFSA 2013-93 mostraron evidencia de corrupción de memoria bajo ciertas circunstancias, es de suponerse que con suficiente esfuerzo, al menos alguno de ellos podría ser utilizado para ejecutar código arbitrario.

Las otras cuatro vulnerabilidades críticas podrían provocar que el navegador dejara de funcionar, de tal manera que podría ser aprovechado por un exploit.

Una de las vulnerabilidades identificadas como de alto riesgo, MFSA 2013-99, podría permitir la divulgación de información. Un investigador de seguridad, Cody Crews, descubrió un método para agregar un iframe en un objeto PDF interpretado con la extensión PDF.js. "Esto puede usarse para traspasar restricciones de seguridad con el fin de cargar archivos locales o privilegiados y objetos dentro del objeto PDF agregado", escribió Mozilla.

En el pasado mes de agosto, el proyecto TOR advirtió que una vulnerabilidad en Firefox ESR pudo haber sido utilizada para recolectar información en computadoras que visitaban sitios web configurados como servicios ocultos de TOR. The Onion Router (TOR), es un sistema que permite una navegación anónima en Internet al enrutar peticiones cifradas a través de varios servidores alrededor del mundo. El Proyecto TOR distribuye un paquete de software que incluye al navegador Firefox para navegar con TOR.

La vulnerabilidad podría haber facilitado la ejecución de código de manera remota, pero también pudo haber sido utilizada para recolectar el nombre del equipo y dirección de computadoras MAC con Windows. El Proyecto TOR usualmente actualiza su paquete de software rápidamente después de que Mozilla publica nuevos parches.