Exploit dla niezałatanej luki w Firefoksie

Exploit dla niezałatanej luki w Firefoksie

27.03.2009 15:40, aktual.: 27.03.2009 16:30

Zalogowani mogą więcej

Możesz zapisać ten artykuł na później. Znajdziesz go potem na swoim koncie użytkownika

W przyszłym tygodniu Mozilla Foundation zamierza wydać wersję Firefoksa 3.0.8, w której załatana zostanie krytyczna luka występująca w przeglądarce. Błąd został ujawniony w minioną środę ze sprawą exploita Proof of Concept stworzonego przez specjalistę od zabezpieczeń Guio Landi.

Problem

Przyczyną usterki jest błąd w przetwarzaniu nieprawidłowych plików XML lub XSL, który może prowadzić do błędu funkcjonowania pamięci. Pokazowy skrypt Landiego w krótkim teście redakcji heise Security spowodował wprawdzie jedynie zakończenie pracy przeglądarki, ale w bardziej niebezpiecznej postaci może on być zdolny do przemycenia i wykonania dowolnego kodu. W tym celu, według wyjaśnień autora, trzeba jednak zastosować metodę heap spraying, przypuszcza się więc, że wyłączenie JavaScriptu daje użytkownikom krótkotrwałą ochronę przed prawdziwymi exploitami dla tej luki.

Problem dotyczy wersji od 3.0 do 3.0.7 na wszystkich systemach operacyjnych. Zdaniem dewelopera Blake'a Kaplana błąd jest w zasadzie całkiem oczywisty –. trzeba było tylko dokładniej przyjrzeć się kodowi. Wersja 3.0.8 w zapowiedziach wydania jest określana jako high-priority firedrill security update.

Rozwiązanie

Programiści Firefoksa przygotowali już wprawdzie patche, ale muszą one jeszcze zostać przetestowane.

wydanie internetowe www.heise-online.pl

internetlukaprzeglądarka
Komentarze (2)