Une faille dans Firefox, un trou qui prend l’air (page 2) • Link Station

soul^keeper · 2005-05-09T19:00:12+00:00

Une vulnérabilité critique a été décelée au sein de Mozilla Firefox. Exploitée par des mains habiles, elle permet à une personne distante de faire exécuter des commandes arbitraires sur la machine vulnérable. Et, grosso modo, de faire télécharger et auto exécuter un fichier malicieux. " Le problème résulte d'une erreur de permissions présente au niveau de la procédure d'installation des thèmes et extensions firefox » explique le site FrSIRT. Cette procédure ne filtre pas correctement certains paramètres spécialement conçus, à l’aide de code Javascript. " Cette faille est suffisante pour compromettre le système" nous a confié Paul de GreyHats Security, le découvreur de ce bug. "Ce système d'installation ne fonctionne par défaut que depuis le site update.mozilla.org ou addon.mozilla.org". Toutefois, la faille en elle-même n'est pas suffisante pour percer la sécurité de l'ordinateur hôte. "C'est par le biais d'une autre vulnérabilité, un CSS que l'on peut faire appeler la fonction d'installation depuis mozilla.org ". Il n’y eu aucun correctif publié à ce jour. les spécialistes préconisent en attendant de désactiver JavaScript ou l'option "Permettre aux sites web d'installer des logiciels" (menu Outils , Options puis Fonctionnalités Web). Les circonstances de publication de cette faille sont troubles. La faille aurait donc été découverte par Paul de GreyhatSecurity et l'un de ses amis, Michael Krax (du site Mickx.de), deux chercheurs qui se penchent ponctuellement sur la sécurité du célèbre navigateur. Comme l'expose Paul, la faille devait rester à l’abri mais, ironie du sort, leurs travaux ont été publiés sans leur accord. "j'essaye actuellement de rassembler toutes les informations sur la façon dont ma recherche a été exposée au public. Des conversations récentes me mènent à croire qu'il s'agit plutôt d'un défaut de confiance vis à vis d'un proche plutôt que piratage d'un de mes serveurs" nous confie ce spécialiste en sécurité. "Je ne veux pas plonger sur des conclusions trop rapides car ceci me mènera seulement à plus de problèmes. C'est tout que je dirai sur ce sujet car je ne veux offenser personne". Face à ce full disclosure d'un genre particulier, Paul exprime ses sincères regrets à la Fondation Mozilla ainsi qu’à tous ceux « qui ont été touchés par cette action inconsidérée et irresponsable d’un individu ». Voir le post explicatif (en anglais) ici :

Aller au Forum:

FflemingSuper ModerateurNiveau 29 · CascadeurRéférenceur Assidu

Membre depuis: 2003
Messages: 19502

Plus

Membre n°: 7849
Inscription: 06 Jan 2003
Localisation: Augustoritum
Sujets lancés: 319
Ancienneté: 97 %
Participation: 100 %
Temps en ligne: 95 Jours, 0 Heure, 24 Minutes, 20 Secondes en ligne

ça n'arrête pas... Ancien message

31-07-2007 18:02

Citation

Vulnérabilités dans Firefox, Thunderbird et Seamonkey (31/07/07)

RESUME :
Un nouveau défaut de sécurité a été identifié dans le navigateur Firefox, le logiciel de messagerie Thunderbird et la suite SeaMonkey. L'exploitation d'une erreur introduite par le correctif MFSA 2007-20 dans la gestion des extensions ("addons") peut permettre l'exécution d'un script malicieux lors de l'ouverture d'une page web piégée. La vulnérabilité URI affectant les logiciels lorsque Internet Explorer 7.0 est installé (voir alerte du 26/07/07) est par ailleurs corrigée.

LOGICIELS CONCERNES :
Firefox 2.0.0.5 et versions inférieures
Thunderbird 2.0.0.5 et versions inférieures
Thunderbird 1.5.0.12 et versions inférieures
SeaMonkey 1.1.3 et versions inférieures

CORRECTIF :
Les utilisateurs concernés doivent installer immédiatement la nouvelle version (2.0.0.6 ou supérieure pour Firefox) correspondant à leur logiciel via le site de l'éditeur, afin de prévenir toute exploitation malveillante de ces failles :

Firefox 2.0.0.6
Thunderbird 2.0.0.6 (bientôt disponible)
SeaMonkey 1.1.4 (bientôt disponible)

source : secuser.com
https://www.secuser.com/vulnerabili...731_firefox.htm

__________________