[SECURITE] Une faille dans Firefox, un trou qui prend l’air

Une vulnérabilité critique a été décelée au sein de Mozilla Firefox. Exploitée par des mains habiles, elle permet à une personne distante de faire exécuter des commandes arbitraires sur la machine vulnérable. Et, grosso modo, de faire télécharger et auto exécuter un fichier malicieux.

" Le problème résulte d'une erreur de permissions présente au niveau de la procédure d'installation des thèmes et extensions firefox » explique le site FrSIRT. Cette procédure ne filtre pas correctement certains paramètres spécialement conçus, à l’aide de code Javascript.

" Cette faille est suffisante pour compromettre le système" nous a confié Paul de GreyHats Security, le découvreur de ce bug. "Ce système d'installation ne fonctionne par défaut que depuis le site update.mozilla.org ou addon.mozilla.org". Toutefois, la faille en elle-même n'est pas suffisante pour percer la sécurité de l'ordinateur hôte. "C'est par le biais d'une autre vulnérabilité, un CSS [NDRL : cross site scripting] que l'on peut faire appeler la fonction d'installation depuis mozilla.org ".

Il n’y eu aucun correctif publié à ce jour. les spécialistes préconisent en attendant de désactiver JavaScript ou l'option "Permettre aux sites web d'installer des logiciels" (menu Outils , Options puis Fonctionnalités Web).

Les circonstances de publication de cette faille sont troubles. La faille aurait donc été découverte par Paul de GreyhatSecurity et l'un de ses amis, Michael Krax (du site Mickx.de), deux chercheurs qui se penchent ponctuellement sur la sécurité du célèbre navigateur. Comme l'expose Paul, la faille devait rester à l’abri mais, ironie du sort, leurs travaux ont été publiés sans leur accord. "j'essaye actuellement de rassembler toutes les informations sur la façon dont ma recherche a été exposée au public. Des conversations récentes me mènent à croire qu'il s'agit plutôt d'un défaut de confiance vis à vis d'un proche plutôt que piratage d'un de mes serveurs" nous confie ce spécialiste en sécurité. "Je ne veux pas plonger sur des conclusions trop rapides car ceci me mènera seulement à plus de problèmes. C'est tout que je dirai sur ce sujet car je ne veux offenser personne".

Face à ce full disclosure d'un genre particulier, Paul exprime ses sincères regrets à la Fondation Mozilla ainsi qu’à tous ceux « qui ont été touchés par cette action inconsidérée et irresponsable d’un individu ».

La société de sécurité Secunia vient de mettre en lumière une faille dans l’utilisation de JavaScript dans plusieurs navigateurs. La brèche permet à une personne distante de chaparder des données potentiellement sensibles chez la victime.

Firefox 1.0.1 et 1.0.2 , Netscape 6.x et 7.x, Mozilla 1.7.6 et 1.7.3 sont vulnérables (et sans doute d’autres versions de ces familles là). Un test est disponible sur cette page. Il montre comment, par cette faille, il est possible de dérober 10Ko de mémoire et de les afficher dans un tableau. En le testant, vous retrouver des traces consultées par vos soins il y a quelques temps.

Ce PoC (Proof of Concept) inoffensif profite d’un bug dans le moteur de Javascript qui "pompe" aléatoirement des données dans la mémoire. Secunia recommande aussi à ce jour de désactiver JavaScript en attendant un colmatage complet.

MFSA 2005-44 Privilege escalation via non-DOM property overrides
MFSA 2005-43 "Wrapped" java script: urls bypass security checks
MFSA 2005-42 Code execution via java script: IconURL

Dans un rapport que vient de publier l'éditeur de logiciels Symantec, celui-ci estime que les navigateurs basés sur Mozilla sont moins fiables qu'Internet Explorer. Dans le même temps Symantec reconnaît que les pirates concentrent toujours leurs efforts, et donc les attaques, sur Internet Explorer. Typiquement les navigateurs basés sur Mozilla sont perçus comme plus sûr qu'Internet Explorer qui souffre depuis quelques années déjà de failles de sécurité à répétition. Pourtant le rapport des menaces sur la sécurité Internet de Symantec contredit cette notion assez répandue. D'après ce dossier pas moins de 25 vulnérabilités dans les navigateurs Mozilla ont été découvertes durant la première moitié de 2005. Sur ces 25 failles, 18 sont critiques. Durant la même période seulement 13 vulnérabilités ont touchées Internet Explorer avec seulement 8 failles critiques.

D'après Symantec toujours, le délai entre la découverte d'une faille et sa correction atteint maintenant six jours. Toutefois aucune indication dans le rapport ne tend à mettre en avant la réactivité de Microsoft ou de la fondation Mozilla. Symantec se laisse aller à reconnaître qu'aucune des failles de Firefox n'a été exploité aussi largement que celles d'Internet Explorer mais la firme estime que cette situation devrait changer les navigateurs alternatifs devenant de plus en plus répandus.

Mais dans son rapport Symantec oublie un détail, de taille. Tandis que la fondation Mozilla doit encore corriger trois vulnérabilités connues de Firefox, Microsoft à près de 19 failles connues, répertoriées et toujours non corrigées selon Secunia. Dans son rapport, Symantec note que l'utilisation des failles dans les navigateurs devient le point d'entrée principal pour le piratage des systèmes alors que l'éditeur observe une tendance qui tend à se développer : l'utilisation d'une faille par les hackers comme un moyen de gagner de l'argent.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
S E C U S E R S E C U R I T E 18/07/07
https://www.secuser.com/
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Vulnérabilités critiques dans Firefox et Thunderbird
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

1. RESUME DE L'ALERTE
2. LOGICIEL(S) CONCERNE(S)
3. CORRECTIF DISPONIBLE
4. AIDE ET DISCUSSION
5. FAIRE CONNAITRE SECUSER SECURITE
6. CONTACTER SECUSER.COM
7. DESABONNEMENT ET CHANGEMENT D'ADRESSE


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
1. RESUME DE L'ALERTE
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Plusieurs défauts de sécurité ont été identifiés dans le navigateur Firefox
et le logiciel de messagerie Thunderbird. L'exploitation des failles les
plus sévères autorise l'exécution de code malicieux à distance via une page
web ou un courrier électronique piégé. La vulnérabilité faisant intervenir
le navigateur Internet Explorer annoncée le 10/07/07 est corrigée.
https://www.secuser.com/vulnerabili...718_firefox.htm

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
2. LOGICIEL(S) CONCERNE(S)
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Firefox 2.0.0.4 et versions inférieures
Firefox 1.5.0.12 et versions inférieures
Thunderbird 2.0.0.4 et versions inférieures
Thunderbird 1.5.0.12 et versions inférieures

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
3. CORRECTIF DISPONIBLE
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Afin de prévenir toute exploitation malveillante de ces défauts de sécurité,
les utilisateurs concernés doivent installer immédiatement la nouvelle
version correspondant à leurs logiciels via le site de l'éditeur :
https://www.secuser.com/vulnerabili...x.htm#correctif

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
4. AIDE ET DISCUSSION
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Détail de l'alerte sur le site de l'éditeur
https://www.mozilla.org/security/an...fsa2007-18.html
https://www.mozilla.org/security/an...fsa2007-19.html
https://www.mozilla.org/security/an...fsa2007-20.html
https://www.mozilla.org/security/an...fsa2007-21.html
https://www.mozilla.org/security/an...fsa2007-22.html
https://www.mozilla.org/security/an...fsa2007-23.html
https://www.mozilla.org/security/an...fsa2007-24.html
https://www.mozilla.org/security/an...fsa2007-25.html
Précédents communiqués sécurité
https://www.secuser.com/communiques/
Déterminer le numéro de version d'un logiciel
https://www.secuser.com/faq/securite/#numero_version
Identifier les fausses alertes virus et sécurité
https://www.secuser.com/antihoax/gratuit/
Dernières nouvelles de la sécurité informatique
https://www.secuser.com/actu/

Vulnérabilité critique non corrigée dans Firefox et Netscape Navigator (26/07/07)

RESUME :
Un nouveau défaut de sécurité a été identifié dans les navigateurs Firefox et Netscape. L'exploitation d'un défaut de validation de certaines adresses URI (notamment mailto://, nntp://, news://, telnet://) peut permettre à un individu malveillant ou à un virus d'exécuter du code malicieux à distance sur l'ordinateur de sa victime via un lien piégé.

LOGICIEL(S) CONCERNE(S) :
Mozilla Firefox
Netscape Navigator


CORRECTIF :
Aucun correctif n'est disponible pour le moment, ce défaut de sécurité ayant été rendu public par son découvreur sans attendre sa correction par l'éditeur. Les détails techniques concernant la faille ayant été rendus publics, le risque d'exploitation malveillante est important. En attendant la publication d'un correctif officiel, les utilisateurs concernés peuvent appliquer les mesures suivantes afin de réduire les risques d'exploitation malveillante :

se montrer particulièrement vigilant dans son utilisation d'Internet, notamment vis-à-vis des fichiers douteux, des liens hypertextes et autres non sollicités, ainsi que des sites web non reconnus comme sûrs ;
tenir à jour son antivirus. Les éditeurs publient généralement de nouvelles signatures pour tenter de reconnaître et d'intercepter les fichiers malicieux exploitant les défauts de sécurité non corrigés.
Les utilisateurs concernés peuvent s'abonner gratuitement à la lettre Secuser Securite pour être informés par courrier électronique de la disponibilité du correctif officiel.