Mozilla Firefox 2.0.0.8 Critical Update - Windows eigen Firefox

Updaten van Firefox is echt een trend. Net een maand na de laatste update er nieuwe effecten worden uitgegeven met de Mozilla Firefox browser. Squashing browser bugs is een vervelende karweitjes voor Mozilla's ontwikkelaars. Dus kudos voor hun snelle reactie.

Laatste update verhelpt verschillende zekerheden gaten en de populaire geheugenkaarten: gepatcht corruptie bugs. Ook met deze nieuwe versie van Mozilla's Firefox heeft alle drop ondersteuning voor de Mozilla Firefox-versie 1.5.0.x. Dus iedere gebruiker met oudere versies is een aanmoediging om hun browser.

Bekende kwetsbaarheden lijst door MFSA

• MFSA 2007-36 URI's met ongeldige%-codering verkeerd door Windows
• MFSA 2007-35 XPCNativeWrapper vervuiling met behulp van Script object
• MFSA 2007-34 Mogelijke bestand stelen via sftp protocol
• MFSA 2007-33 XUL's kunnen verbergen het venster de titelbalk
• MFSA 2007-32 File input focus stelen kwetsbaarheid
• MFSA 2007-31 Browser verificatiesamenvatting request splitting
• MFSA 2007-30 onUnload Bumperkleven
• MFSA 2007-29 Crashes met aanwijzingen van het geheugen van corruptie (rv: 1.8.1.8)

URI protocol misbruik

Vorige maand Billy Rios, Nate McFeter en Raghav "de paus" Dube ontdekte de exploitatie op afstand commando's uit te voeren in Firefox met de URI protocol handler

Uittreksel uit Billy Ross's

Nogmaals, deze URI-vrachten kunnen worden doorgegeven door de mailto-, NNTP, nieuws en snews URI's, waardoor we in staat zijn om de lading zonder tussenkomst van de gebruiker. Dus lijkt het erop dat, hoewel de voorwaarden die het mogelijk maakte om op afstand commando's uit te voeren in Firefox 2.0.0.5 zijn aangepakt met een beveiligingspatch, de onderliggende bestandstype het behandelen van problemen die werkelijk de kern van de kwestie niet aangepakt.

Je kunt meer lezen over dit onderwerp op de blog van Billy Ross - Firefox File Handling ellende.

Wat is XPCNativeWraper vervuiling?

Bugzilla titel kan worden verdomd verwarrend. MFSA 2007-35 - "XPCNativeWrapper vervuiling met behulp van Script object" - Zijn het dezelfde kwetsbaarheid van de vorige update van Firefox 2.0.0.5. ATM Mozilla heeft gesloten (Ik verwijderde de link 404) staan alle gegevens met betrekking tot dit onderwerp (het blijkt dat alle verwijzingen verleden terugkeren 404: (). Dus ik moest nog verder terug te dringen op digg ISS X-Force en CVE vind je meer info over dit exploit.

Mozilla Firefox kan een externe aanvaller willekeurige code kan uitvoeren op het systeem, veroorzaakt door een niet gespecificeerde fout met betrekking tot de behandeling van XPCNativeWrapper. Een aanvaller kan dit beveiligingslek misbruiken om willekeurige code uit te voeren op het getroffen systeem of leiden tot een denial of service, indien de aanvaller zou kunnen overhalen een slachtoffer voor een bezoek aan een schadelijke webpagina of open een kwaadaardige HTML-e-mail.

Ik denk dat dit het belangrijkste onderwerp voor de nieuwe release. Omdat elke zoekopdracht op Mozilla blijken 404 en prive. Ik hoop dat iemand kan dit nader toegelicht.

Pref setup te voorkomen dat schadelijke URI exploiteren

Ik vond dit fragment uit een code van regelmatige opmerkingen Billy Ross op de blogs. Wellicht moet je het hoofd op Mozilla prefs gids voor de toepassing van de onderstaande hacks.

Firefox Voorkeuren instellingen (pref.js)

Deze instellingen zullen gooien een Firefox bevestigingsbox vóór het openen van externe applicaties van derden (bijv. thunderbird, outlook). Dus je kunt voorkomen dat alle programma's worden gestart zonder toestemming. Voorbeeld: mailto links (dwz: billgates@microsoft.com).

  user_pref ( "network.protocol-handler.warn-external.mailto", true); 
  user_pref ( "network.protocol-handler.warn-external.news", true); 
  user_pref ( "network.protocol-handler.warn-external.nntp", true); 
  user_pref ( "network.protocol-handler.warn-external.snews", true); 

Simon zegt, Both is Guilty

Het lijkt Mozilla Firefox is net zo schuldig als Microsoft's voor het doorgeven van gegevens aan gevaarlijke toepassingen van derden. Firefox heeft een eigen geregistreerde URL handler & DDE in plaats van te vertrouwen op Microsoft's.

Zelfde met Apple (quicktime eigen firefox).

Relevante links

• Download Firefox 2.0.0.8
• Remote Command Exec (FireFox 2.0.0.5 et al.)
• Escape URI's wanneer deze aan externe protocol handlers