Archivio » 2005 » maggio » lunedì 9 »

Firefox, rischio grave

Scritto da Guido Sintoni

Due bug non corretti della versione 1.0.3 del browser. Già pronto un rimedio parziale; ma occorre una patch definitiva_SONDAGGIO. Quale è il vostro browser preferito?Firefox: volpe di fuoco

Alla soglia dei 50 milioni di download, Firefox riceve uno sgradito regalo: uno zero day exploit che porta all’esecuzione arbitraria di codice.Firefox? Gran bel browser! Il pericolo, quindi, è tangibile. Non è la prima volta che uno zero day exploit (ovvero del codice maligno che circola liberamente in rete, sfruttando vulnerabilità non ancora corrette) fa meno danni dal previsto: sta al team di sviluppo di Firefox rispondere di gran carriera. Il French Security Incident Response Team ha scoperto il bug e si è accorto dell’exploit, mentre la danese Secunia ha preparato un’analisi dettagliata delle due vulnerabilità che affliggono anche la più recente versione di Firefox.

Opinione. Firefox non è sicuro? Parliamone

La prima sfrutta un errore di una funzione dell’applicazione e permette di installare codice JavaScript con privilegi innalzati, anche se non in maniera automatica; la seconda, ben più rilevante, riguarda l’errata gestione di Url JavaScript di tipo “IFRAME”, che permettono il caricamento di codice HTML arbitrario e di script sulla macchina vulnerabile. Il FSIRT è drastico al riguardo: “Se l’utente clicca su una pagina appositamente creata, l’exploit crea ed esegue automaticamente un file eseguibile o batch”. Un bug legato a IFRAME colpisce ancora: dopo Microsoft Internet Explorer tocca ora a Firefox accusare vulnerabilità “estremamente critiche”. Mozilla Foundation ha rilasciato in poche ore una correzione parziale al problema, aggiungendo lato server lettere e numeri casuali alla funzione bacata (che si occupa dell’installazione del softwate): un escamotage che rende impossibile installare codice con le impostazioni di default di Firefox. Ma - in attesa di una patch definitiva - per ora è meglio seguire i consigli di Secunia: disabilitare JavaScript e la funzione di installazione software (con l’opzione “Permetti ai siti di installare software” del menu “Modifica / Preferenze / Proprietà Web”).