Mozilla lanzó la versión Firefox 138.0.4, junto con las versiones ESR 128.10.1 y 115.23.1, para corregir dos vulnerabilidades críticas reveladas durante el evento Pwn2Own Berlin 2025.
Contexto del descubrimiento
La actualización fue publicada dos días después del concurso Pwn2Own Berlin 2025, donde los investigadores obtuvieron 50 000 USD por cada fallo. Ambas vulnerabilidades permiten a un atacante forzar al motor JavaScript a acceder a regiones de memoria más allá de los límites asignados.
Detalles técnicos de las vulnerabilidades
CVE-2025-4918 afecta al motor SpiderMonkey en la resolución de objetos Promise, provocando lectura/escritura fuera de límites y corrupción de memoria. Fue descubierto por Edouard Bochin y Tao Yan (Palo Alto Networks).
CVE-2025-4919 se relaciona con la optimización de sumas lineales en SpiderMonkey, causando lectura/escritura fuera de límites y corrupción de memoria. Fue descubierto por Manfred Paul.
Riesgos asociados
El código de explotación ya circula entre investigadores y organizadores del concurso, lo que aumenta el riesgo de re-ingeniería y uso malicioso.
Impacto y afectaciones
Afecta tanto a Firefox Desktop como a Firefox para Android, así como a las dos ramas ESR. Todos los usuarios deben actualizar sus versiones.
Recomendaciones de mitigación
- Actualizar a Firefox ≥ 138.0.4 o a las correspondientes versiones ESR.
- Para entornos gestionados, habilitar actualizaciones automáticas o desplegar el paquete MSI/PKG cuanto antes.
- Vigilar los registros de seguridad en busca de eventos anómalos relacionados con el proceso firefox.exe (o equivalente móvil, en función de la versión instalada).