>Форум Mozilla Россия
   http://forum.mozilla-russia.org/index.php
>SeaMonkey/Mozilla Suite
   http://forum.mozilla-russia.org/viewforum.php?id=10
>Уязвимость в Mozilla и FireFox
   http://forum.mozilla-russia.org/viewtopic.php?id=2304

Наблюдатель > 10-04-2005 13:34:09

2005-04-04 Various Mozilla browsers are vulnerable
to the Mozilla Arbitrary Memory Exposure Vulnerability

Новая дыра в броузерах Mozila, Firefox.
При выполнении определённого скрипта (на java-script) злоумышленник может получить все содержимое памяти браузера (такое, как введеная информация, открытые сайты и т.п.) По этому адресу можно пройти тест на беременность вашего браузера :-)
После нажатия "Test Now - Left Click On This Link" положительным результатом будет появление в окошке Result содержимого вашей памяти!
В настоящее время патча не существует.

Тест здесь

Psilon > 10-04-2005 13:35:56

Обижаешь. Уже пофиксили давно. В 1.0.3 всё в поряде.

Наблюдатель > 10-04-2005 13:45:50

У меня Mozilla 1.8b, но дампы выдаёт... Было ещё хуже?!

Один дамп вообще выдал номер сессии на конфе... А я ведь админ. Файрволл отсёк реферер в одном случае - отрезал номер сессии, но в некоторых случаях пролезает.

Глянь ещё разок - может не то пофиксили... (меня это беспокоит)

Наблюдатель > 10-04-2005 13:49:42

И вообще, это датировано...
2005-04-04
Various Mozilla browsers are vulnerable to the Mozilla Arbitrary Memory Exposure Vulnerability.

Почесал > 10-04-2005 13:52:22

Пофиксено еще 1 апреля через несколько часов после обнаружения.

Psilon > 10-04-2005 13:55:53
Наблюдатель пишет

Глянь ещё разок - может не то пофиксили... (меня это беспокоит)

Смотри:
http://forum.mozilla.ru/viewtopic.php?id=2216
http://forum.mozilla.ru/viewtopic.php?id=2136

Только что лично проверил на http://secunia.com/mozilla_products_arbitrary_memory_exposure_test/ .
Всё в поряде.

А вот Mozilla 1.7.6 в первый раз показала, во второй - просто рухнула.
Если беспокоит эта проблема, отключи javascript.

Skat > 10-04-2005 13:56:40

Ещё до того, как 1.04 новость добралась до новостных сайтов, патч уже был выпущен. И к тому же:

В 1.0.3 всё в поряде.

Почесал > 10-04-2005 14:02:13

Насчет Mozilla, это будет исправлено в Mozilla 1.7.7... А в Firefox уже пофиксили.

Можете воспользоваться nightly-билдами mozilla ветки 1.7 (они не trunk, для работы пригодны).

Наблюдатель > 10-04-2005 14:21:00

Чёрт, на FTP mosilla.org файл 1.8b1 так и датирован февралём.

Оказывается, плохо бежать впереди паровоза... Что ж мне, теперь на 1.7 откатываться? ...кто так строит?!... ...кто так строит...

Почесал > 10-04-2005 14:24:24

А какой смысл на 1.8 сидеть? Релиза никогда не будет. Ветка 1.7.х -- последняя в Mozilla AppSuite.

Наблюдатель > 10-04-2005 14:42:41

Будущего... знать не дано никому.

Качаю 1.7.7

Спасибо.

Наблюдатель > 10-04-2005 18:44:13

Скачал 1.7.7. Получил "не найдено xpcom_core.dll", да и хрен бы с ним - русификации всё равно не нашёл. А файл этот у меня есть в комплекте к 1.8а6

Поставил 1.8b1, 1.8a6, 1.7.4 снова 1.7.7 с сохранённым xpcom_core.dll....

Теперь, как дятел, качаю 1.7.6. Смех! Меня весьма веселит дата размещения этого файла на сервере /unghost/mozilla/1.7.6/файл... 30-Mar-2005 21:29
Значит он с багом. Угрохал почти весь день, а результат... тот же БУДЕТ. И сервер - ужасно тормозной - связь то есть, то нет (об этом уже писали).

Какой смысл был линять с 1.8b1, если я фикса найти не могу...
Интересно, как мои мамашки с этим будут бороться, если я в тупиках?

Опенсорс - форева? Фигушки с такой постановкой дела, юзер бросит ИЕ... фигушки!

(уходит вдаль громко матерясь)

ЗЫ
Нашёл-таки радость... единственную. Тест показывает XXXXXXXXX, что прэлестно! Но интерморда бразера английская..., что омрачает результат теста.

Почесал > 10-04-2005 19:10:48

Не понимаю я Ваших претензий, товарищ.
Никаких проблем нет на самом деле. если не страдать фигней и пользоваться стабильными релизами.

Наблюдатель > 10-04-2005 19:23:52

Не понимаю я Ваших претензий, товарищ

Два вопроса (и одно примечание), которые порождают мои "претензии":
1. 1.7.6 - стабильный?
2. Он пофиксен на тему сабжа? (на тему темы...) Если да, то почему дата создания этого инсталлера помечена мартом, хотя с ваших слов.... фикс вышел 1 апреля?

Примечание: я сейчас в 1.7.7, но для него нет русификатора. Этот релиз явно пофиксен.

Unghost > 10-04-2005 19:36:20

Наблюдатель
Эта уязвимость будет устранена в Mozilla 1.7.7 и Firefox 1.0.3, которые еще не вышли. Все что сейчас лежит на серверах mozilla.org и обозвано как firefox-1.0.3 или mozilla-1.7.7 - тестовые версии или релиз-кандидаты.
Все ранее вышедшие версии уязвимы.
Русификации для Mozilla 1.7.7 нет потому что она еще не вышла.

Все это уже обсуждалось в теме на форуме Firefox

Тема закрыта.