Уязвимость в Mozilla и FireFox

Наблюдатель · №1

2005-04-04 Various Mozilla browsers are vulnerable
to the Mozilla Arbitrary Memory Exposure Vulnerability

Новая дыра в броузерах Mozila, Firefox.
При выполнении определённого скрипта (на java-script) злоумышленник может получить все содержимое памяти браузера (такое, как введеная информация, открытые сайты и т.п.) По этому адресу можно пройти тест на беременность вашего браузера :-)
После нажатия "Test Now - Left Click On This Link" положительным результатом будет появление в окошке Result содержимого вашей памяти!
В настоящее время патча не существует.

Тест здесь

Отредактировано Наблюдатель (10-04-2005 14:04:50)

Psilon · №2

Обижаешь. Уже пофиксили давно. В 1.0.3 всё в поряде.

Отредактировано Psilon (10-04-2005 13:38:25)

Наблюдатель · №3

У меня Mozilla 1.8b, но дампы выдаёт... Было ещё хуже?!

Один дамп вообще выдал номер сессии на конфе... А я ведь админ. Файрволл отсёк реферер в одном случае - отрезал номер сессии, но в некоторых случаях пролезает.

Глянь ещё разок - может не то пофиксили... (меня это беспокоит)

Наблюдатель · №4

И вообще, это датировано...
2005-04-04
Various Mozilla browsers are vulnerable to the Mozilla Arbitrary Memory Exposure Vulnerability.

Почесал · №5

Пофиксено еще 1 апреля через несколько часов после обнаружения.

Psilon · №6

Наблюдатель пишет

Глянь ещё разок - может не то пофиксили... (меня это беспокоит)

Смотри:
http://forum.mozilla.ru/viewtopic.php?id=2216
http://forum.mozilla.ru/viewtopic.php?id=2136

Только что лично проверил на http://secunia.com/mozilla_products_arbitrary_memory_exposure_test/ .
Всё в поряде.

А вот Mozilla 1.7.6 в первый раз показала, во второй - просто рухнула.
Если беспокоит эта проблема, отключи javascript.

Отредактировано Psilon (10-04-2005 14:16:32)

Skat · №7

Ещё до того, как 1.04 новость добралась до новостных сайтов, патч уже был выпущен. И к тому же:

В 1.0.3 всё в поряде.

Почесал · №8

Насчет Mozilla, это будет исправлено в Mozilla 1.7.7... А в Firefox уже пофиксили.

Можете воспользоваться nightly-билдами mozilla ветки 1.7 (они не trunk, для работы пригодны).

Наблюдатель · №9

Чёрт, на FTP mosilla.org файл 1.8b1 так и датирован февралём.

Оказывается, плохо бежать впереди паровоза... Что ж мне, теперь на 1.7 откатываться? ...кто так строит?!... ...кто так строит...

Почесал · №10

А какой смысл на 1.8 сидеть? Релиза никогда не будет. Ветка 1.7.х -- последняя в Mozilla AppSuite.

Наблюдатель · №11

Будущего... знать не дано никому.

Качаю 1.7.7

Спасибо.

Наблюдатель · №12

Скачал 1.7.7. Получил "не найдено xpcom_core.dll", да и хрен бы с ним - русификации всё равно не нашёл. А файл этот у меня есть в комплекте к 1.8а6

Поставил 1.8b1, 1.8a6, 1.7.4 снова 1.7.7 с сохранённым xpcom_core.dll....

Теперь, как дятел, качаю 1.7.6. Смех! Меня весьма веселит дата размещения этого файла на сервере /unghost/mozilla/1.7.6/файл... 30-Mar-2005 21:29
Значит он с багом. Угрохал почти весь день, а результат... тот же БУДЕТ. И сервер - ужасно тормозной - связь то есть, то нет (об этом уже писали).

Какой смысл был линять с 1.8b1, если я фикса найти не могу...
Интересно, как мои мамашки с этим будут бороться, если я в тупиках?

Опенсорс - форева? Фигушки с такой постановкой дела, юзер бросит ИЕ... фигушки!

(уходит вдаль громко матерясь)

ЗЫ
Нашёл-таки радость... единственную. Тест показывает XXXXXXXXX, что прэлестно! Но интерморда бразера английская..., что омрачает результат теста.

Отредактировано Наблюдатель (10-04-2005 18:53:50)

Почесал · №13

Не понимаю я Ваших претензий, товарищ.
Никаких проблем нет на самом деле. если не страдать фигней и пользоваться стабильными релизами.

Отредактировано gass512 (10-04-2005 19:14:32)

Наблюдатель · №14

Не понимаю я Ваших претензий, товарищ

Два вопроса (и одно примечание), которые порождают мои "претензии":
1. 1.7.6 - стабильный?
2. Он пофиксен на тему сабжа? (на тему темы...) Если да, то почему дата создания этого инсталлера помечена мартом, хотя с ваших слов.... фикс вышел 1 апреля?

Примечание: я сейчас в 1.7.7, но для него нет русификатора. Этот релиз явно пофиксен.

Отредактировано Наблюдатель (10-04-2005 19:25:57)

Unghost · №15

Наблюдатель
Эта уязвимость будет устранена в Mozilla 1.7.7 и Firefox 1.0.3, которые еще не вышли. Все что сейчас лежит на серверах mozilla.org и обозвано как firefox-1.0.3 или mozilla-1.7.7 - тестовые версии или релиз-кандидаты.
Все ранее вышедшие версии уязвимы.
Русификации для Mozilla 1.7.7 нет потому что она еще не вышла.

Все это уже обсуждалось в теме на форуме Firefox

Тема закрыта.

Полезная информация

№110-04-2005 13:34:09

Уязвимость в Mozilla и FireFox

№210-04-2005 13:35:56

Re: Уязвимость в Mozilla и FireFox

№310-04-2005 13:45:50

Re: Уязвимость в Mozilla и FireFox

№410-04-2005 13:49:42

Re: Уязвимость в Mozilla и FireFox

№510-04-2005 13:52:22

Re: Уязвимость в Mozilla и FireFox

№610-04-2005 13:55:53

Re: Уязвимость в Mozilla и FireFox

№710-04-2005 13:56:40

Re: Уязвимость в Mozilla и FireFox

№810-04-2005 14:02:13

Re: Уязвимость в Mozilla и FireFox

№910-04-2005 14:21:00

Re: Уязвимость в Mozilla и FireFox

№1010-04-2005 14:24:24

Re: Уязвимость в Mozilla и FireFox

№1110-04-2005 14:42:41

Re: Уязвимость в Mozilla и FireFox

№1210-04-2005 18:44:13

Re: Уязвимость в Mozilla и FireFox

№1310-04-2005 19:10:48

Re: Уязвимость в Mozilla и FireFox

№1410-04-2005 19:23:52

Re: Уязвимость в Mozilla и FireFox

№1510-04-2005 19:36:20

Re: Уязвимость в Mozilla и FireFox

Board footer