Mozilla Firefox 2.0.0.8 Critical Update - Windows Eigene Firefox

Aktualisieren von Firefox ist wirklich zu einem Trend. Nur einen Monat nach dem letzten Update gibt es neue Wertpapiere Problem mit Mozilla Firefox Browser. Zerquetscht Browser-Bugs ist eine langweilige Aufgaben für Mozilla Developer. Also Lob für ihre schnelle Reaktion.

Update behebt verschiedene Wertpapiere Löcher geflickt und die beliebten Speicher Korruption Bugs. Auch mit dieser neuen Version von Mozilla Firefox hat alle Drop-Unterstützung für Mozilla Firefox ab Version 1.5.0.x. So dass Benutzer mit älteren Version ist die ihren Browser zu aktualisieren.

Bekannte Sicherheitslücken Liste von MFSA

• MFSA 2007-36 URIs mit ungültigen% falsch-Encoding von Windows
• MFSA 2007-35 XPCNativeWrapper Verschmutzung mit Script-Objekt
• MFSA 2007-34 Mögliche Datei Diebstahl durch sftp-Protokoll
• MFSA 2007-33 XUL-Seiten kann die Fenster nicht oben
• MFSA 2007-32 File Eingabefokus Diebstahl Schwachstelle
• MFSA 2007-31 Browser Digestauthentifizierung Antrag Splitting
• MFSA 2007-30 onUnload Tailgating
• MFSA 2007-29 Crashes mit Nachweis der Speicher Korruption (rv: 1.8.1.8)

URI-Protokoll Missbrauch

Im vergangenen Monat Billy Rios, Nate McFeter und Raghav "der Papst" Dube entdeckt die Nutzung auf dem Remote-Befehlsausführung in Firefox mit dem URI-Protokoll-Handler

Auszug aus Billy Ross's

Auch diese URI Traglast kann durch die E-Mail, NNTP, News und snews URIs, so dass wir, um die Nutzlast ohne Benutzer-Interaktion. So scheint es, dass, obwohl die Bedingungen, die für die entfernte Befehlsausführung in Firefox 2.0.0.5 wurden mit einem Sicherheits-Patch, der zugrunde liegenden Datei-Typ mit Fragen, die sind wirklich die Herzen der Frage nicht behandelt wurden.

Lesen Sie mehr zu diesem Thema auf Billy Ross's Blog - Firefox Dateien woes.

Was zum Teufel ist XPCNativeWraper Verschmutzung?

Bugzilla Titel können verdammt verwirrend. MFSA 2007-35 - "XPCNativeWrapper Verschmutzung mit Script-Objekt" - Es ist die gleiche Anfälligkeit der letzten Aktualisierung auf Firefox 2.0.0.5. ATM Mozilla geschlossen wurde (ich den Link 404) alle Informationen zu diesem Thema (es stellt sich heraus, alle Hinweise der Vergangenheit zurückzukehren 404: (). Also musste ich digg weiter auf der ISS X-Force und CVE, um mehr Informationen zu diesem nutzen.

Mozilla Firefox könnte es einem Angreifer, beliebigen Code auf dem System, verursacht durch ein Unbekannter Fehler im Zusammenhang mit der Behandlung von XPCNativeWrapper. Ein Angreifer könnte diese Sicherheitslücke ausnutzen, um beliebigen Code auf dem betroffenen System oder einen Denial-of-Service, wenn der Angreifer konnte das Opfer zum Besuch einer bösartigen Web-Seite oder eine bösartige HTML-E-Mail.

Ich denke, das ist das wichtigste Thema für das neue Release. Da jeder Suche auf Mozilla sich 404 und privat. Ich hoffe jemand kann erklären diese weiter.

Pref Setup zu verhindern, dass schädliche URI nutzen

Ich fand dieses Snippet-Code von einem regelmäßigen Kommentator bei Billy Ross's Blogs. Sie müssen an der Spitze auf Mozilla prefs Führer vor der Anwendung der unter Hacks.

Firefox-Einstellungen (pref.js)

Diese Einstellungen werden werfen Sie ein Firefox-Fenster, bevor Sie externe Anwendungen von Drittanbietern (zB Thunderbird, Outlook). So können Sie verhindern, dass Programme nicht ohne Erlaubnis gestartet. Beispiel: mailto-Links (zB: billgates@microsoft.com).

  user_pref ( "network.protocol-handler.warn-external.mailto", true); 
  user_pref ( "network.protocol-handler.warn-external.news", true); 
  user_pref ( "network.protocol-handler.warn-external.nntp", true); 
  user_pref ( "network.protocol-handler.warn-external.snews", true); 

Simon sagt: Beides ist Guilty

Es scheint wie Mozilla Firefox ist genauso schuldig wie Microsoft für das gefährliche Daten zu Anwendungen von Drittanbietern. Firefox sollte über eine eigene URL-Handler registriert und DDE anstelle von Microsoft's.

Diese mit Apple (Quicktime eigenen Firefox).

Links zum Thema

• Download Firefox 2.0.0.8
• Remote Command Exec (Firefox 2.0.0.5 et al)
• Escape URIs, wenn sie an externe Protokoll-Handler