Mozilla Firefox 2.0.0.8 Wichtiges Update - Windows-eigenen Firefox

Aktualisieren von Firefox ist wirklich zu einem Trends. Nur einen Monat nach dem letzten Update gibt es neue Wertpapiere Problem mit Mozilla's Firefox Browser. Quetschen Browser-Bugs ist eine langweilige Aufgaben für Mozilla Developer's. Also Lob für ihre schnelle Reaktion.

Update behebt verschiedene Wertpapiere Löcher geflickt und das beliebte Speicher Korruption Bugs. Auch mit dieser neuen Version der Mozilla Firefox hat alle Drop-Unterstützung für Mozilla's Firefox-Version 1.5.0.x. So kann jeder Nutzer mit älteren Version ist die zur Aktualisierung ihrer Browser.

Bekannte Sicherheitslücken Liste von MFSA

• MFSA 2007-36 URIs mit ungültigen%-Kodierung falsch von Windows
• MFSA 2007-35 XPCNativeWrapper Verschmutzung mit Script-Objekt
• MFSA 2007-34 Mögliche Datei Diebstahl durch sftp-Protokoll
• MFSA 2007-33 XUL-Seiten können Sie das Fenster Titelleiste
• MFSA 2007-32 Datei-Eingang Fokus Verwundbarkeit Diebstahl
• MFSA 2007-31 Browser Digestauthentifizierung Anfrage Splitting
• MFSA 2007-30 onUnload Tailgating
• MFSA 2007-29 Abstürze mit Anzeichen von Korruption Speicher (rv: 1.8.1.8)

URI-Protokoll Missbrauch

Im vergangenen Monat Billy Rios, Nate McFeter und Raghav "der Papst" Dube entdeckt die Nutzung auf dem Remote-Ausführung von Befehlen in Firefox mit dem URI-Handler-Protokoll

Auszug aus Billy Ross's

Noch einmal, diese URI Nutzlasten können von der E-Mail, NNTP, Nachrichten, und SNEWS URIs, so dass uns um die Nutzlast ohne Interaktion des Benutzers. Also, es scheint, dass, obwohl die Bedingungen, die für die Remote-Ausführung von Befehlen in Firefox 2.0.0.5 wurden mit einem Sicherheits-Patch, den zugrunde liegenden Dateityp Umgang mit Fragen, die wirklich den Kern des Problems nicht behandelt wurden.

Lesen Sie mehr zu diesem Thema auf Billy Ross's Blog - Firefox File Handling Tränen.

Was zum Teufel ist XPCNativeWraper Verschmutzung?

Bugzilla Titel kann verdammt verwirrend. MFSA 2007-35 - "XPCNativeWrapper Verschmutzung mit Script-Objekt" - Es ist die selbe Verwundbarkeit aus früheren Update auf Firefox 2.0.0.5. ATM Mozilla hat geschlossen (ich den Link 404) alle Informationen in Bezug auf dieses Problem (es stellt sich heraus, alle Hinweise der Vergangenheit zurückkehren 404: (). Also musste ich digg weiter an Bord der ISS X-Force und CVE, um mehr Informationen zu diesem nutzen.

Mozilla Firefox könnte ein Angreifer zur Ausführung von beliebigem Code auf dem System, verursacht durch ein Unbekannter Fehler im Zusammenhang mit der Handhabung von XPCNativeWrapper. Ein Angreifer könnte diese Anfälligkeit ausnutzen, um beliebigen Code auf dem betroffenen System oder einen Denial-of-Service, wenn der Angreifer konnte das Opfer zum Besuch einer bösartigen Web-Seite oder öffnen Sie eine bösartige HTML-E-Mail.

Ich denke, das ist das wichtigste Thema für das neue Release. Da jeder Suche auf Mozilla wiederum aus 404 und privat. Ich hoffe jemand kann diese weiter erläutert.

Pref Setup zu verhindern, dass schädliche URI nutzen

Ich fand dieses Code-Snippet aus ein regelmäßiger Commenter auf Billy Ross's Blogs. Möglicherweise benötigen Sie Kopf auf Mozilla prefs Führer vor der Anwendung der unten Hacks.

Firefox-Einstellungen (pref.js)

Diese Einstellungen werden werfen ein Firefox Bestätigung Feld vor dem Öffnen externen Anwendungen von Drittanbietern (zB Thunderbird, Outlook). So können Sie verhindern, dass jedes Programm, nicht ohne Genehmigung ins Leben gerufen. Beispiel: mailto-Links (dh: billgates@microsoft.com).

  user_pref ( "network.protocol-handler.warn-external.mailto", true); 
  user_pref ( "network.protocol-handler.warn-external.news", true); 
  user_pref ( "network.protocol-handler.warn-external.nntp", true); 
  user_pref ( "network.protocol-handler.warn-external.snews", true); 

Simon sagt, ist Beide Guilty

Es scheint wie Mozilla's Firefox ist genauso schuldig wie Microsoft's für das Bestehen gefährliche Daten zu Anwendungen von Drittanbietern. Firefox sollte über eine eigene URL-Handler registriert & DDE anstelle von Microsoft's.

Gleiche mit Apple (QuickTime eigenen firefox).

Links zum Thema

• Download Firefox 2.0.0.8
• Remote Command Exec (Firefox 2.0.0.5 et al)
• Escape URIs, wenn sie vorbei an externe Protokoll-Handler