>Форум Mozilla Россия
   http://forum.mozilla-russia.org/index.php
>Firefox
   http://forum.mozilla-russia.org/viewforum.php?id=4
>Объявления об уязвимостях Firefox
   http://forum.mozilla-russia.org/viewtopic.php?id=4983

LattyF > 11-09-2005 17:32:24
www.securitylab.ru пишет

11 сентября, 2005
Программа: Netscape Netscape 8.0.3 .3, Netscape Netscape 7.2 , Mozilla Firefox 1.5 Beta1, Mozilla Firefox 1.0.6 , Mozilla Browser 1.7.11

Опасность: Критическая

Наличие эксплоита: Да

Описание: Удаленный атакующий может выполнить произвольный код с привилегиями целевого пользователя.

Переполнение буфера в Mozilla/Netscape/Firefox позволяет удаленному пользователю вызвать отказ в обслуживании или выполнить произвольный код на системе пользователя, просматривающего специально обработанную Web страницу.

Пример/Эксплоит:

<A HREF=https:--------------------------------------------- >

URL производителя: http://www.Mozilla.org

Решение:
Mozilla Patch 307259.xpi
http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/1.0.6/patches/ 307259.xpi

Mozilla Browser 1.7.11
Mozilla Patch 307259.xpi
http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/1.0.6/patches/ 307259.xpi
Firefox 1.0.6 buffer overflow with hostname of all soft hyphens

Срочно всем качать.

Quicksilver tears > 11-09-2005 17:34:53

LattyF
Вообще-то я имел ввиду эту тему:lol::)

LattyF > 11-09-2005 17:39:11
Quicksilver tears пишет

LattyF
Вообще-то я имел ввиду эту тему:lol::)

Там криво написано. Я сразу не понял что за фигня. Вообще что за мода ссылками кидаться в таких темах? Ладно пусть тут останется :) Тут тема лучше звучит ^^.

Unghost > 11-09-2005 18:05:22

Кстати в этом xpi криво настроены права. Должно быть 644, а там 400.
Важно для тех у кого Linux. См. https://bugzilla.mozilla.org/show_bug.cgi?id=307259#c62

LattyF > 11-09-2005 18:10:33

Unghost, может сделать отдельную выделенную тему для подобных постов? Чтобы увеличить количество пользователей, которые узнают о уязвимостях.

LattyF > 11-09-2005 18:17:08

В заголовке темы ошибка: «Обявления...»

Unghost > 11-09-2005 18:19:52

LattyF
Fixed.

sey > 12-09-2005 12:26:43

Прислали такую инфу:

кому лень качать
# Наберите about:config в строке с URL;
# В поле ввода наберите network.enableIDN;
# Присвойте параметру network.enableIDN значение 'false'.
# Перезапустите браузер;
(спасибо opennet.ru)

Сам не проверял, видимо патч именно это и делает.

Centuriones > 13-09-2005 01:54:31

А как понять комментарии на СекьюритиЛаб к этому сообщению? - http://www.securitylab.ru/vulnerability/239917.php

Brem > 13-09-2005 13:51:44

А типа под бету патча нет???
(ведь уязвимость есть и в ней)

Почесал > 13-09-2005 14:06:27

А типа под бету патча нет???
(ведь уязвимость есть и в ней)

Ты вообще понимаешь, что такое "бета" и "девелоперские версии"?

Brem > 13-09-2005 23:02:57
gass512 пишет

Ты вообще понимаешь, что такое "бета" и "девелоперские версии"?

отлично понимаю но и в бэте этот баг есть!!!

roopix > 14-09-2005 06:12:10

ну так вот, этот баг, я уверен, залатают в beta2.

Почесал > 14-09-2005 09:19:39

отлично понимаю но и в бэте этот баг есть!!!

Fixed: 307259 - Buffer overflow with hostname of all soft hyphens.

Вот это понимаешь что такое?

Нет, я  не могу так разговаривать...
Объясните ему кто-нибудь, что такое nightly-сборки. :(

Brem > 14-09-2005 10:13:28
gass512 пишет

отлично понимаю но и в бэте этот баг есть!!!

Fixed: 307259 - Buffer overflow with hostname of all soft hyphens.

Вот это понимаешь что такое?

Нет, я  не могу так разговаривать...
Объясните ему кто-нибудь, что такое nightly-сборки. :(

А ты понимаешь что такое официальная бета версия (http://download.mozilla.org/?product=firefox-1.5b1&os=win&lang=en-US) ???
В ней вроде как реализована система патчей , потому и спрашиваю ...
А Оттопыривать пальцы что ты тут самый крутой раз постоянно из сети найтли сборки мегов по 6 таскаешь не надо!!!

Почесал > 14-09-2005 10:42:26

Я ничего не оттопыриваю, это ты элементарных понятий не понимаешь.
Причем тут официальная бета/небета. Бета -- это НЕ релиз, это девелоперская сборка, просто такой вот milestone. В последнем branch билде это давно исправлено.  И патч для нее -- это бранч сборка. Ты update system знаешь что такое?

LattyF > 14-09-2005 11:27:34

Кхм... Бета --- это тот же релиз, только не стабильный. На оф. сайте mozilla валяется именно бета, а не девелоперская сборка. А исправляют глюки, обычно, в nightly-сборках (девелоперские сборки). А если уж глюк совсем большой, то его могут и в бете исправить.

Почесал > 14-09-2005 12:45:09

Кхм... Бета --- это тот же релиз, только не стабильный. На оф. сайте mozilla валяется именно бета, а не девелоперская сборка. А исправляют глюки, обычно, в nightly-сборках (девелоперские сборки). А если уж глюк совсем большой, то его могут и в бете исправить.

Бета -- это девелоперская сборка для разработчиков и тестеров. Все изменения в ней идут в branch. Так и недавняя дырка, патч для нее был внесен в следующую nightly.

LattyF > 14-09-2005 13:52:08
gass512 пишет

Бета -- это девелоперская сборка для разработчиков и тестеров. Все изменения в ней идут в branch. Так и недавняя дырка, патч для нее был внесен в следующую nightly.

Изменение идут в trunc. И, естественно, попадают в nightly build. Но бета выпускается также как и релиз. http://www.mozilla.org/products/firefox/all-beta. При заморозке дерева разработки, собирается бета-версия продукта, она и выложена на оф. сайте. Девелоперские версии к ней никакого отношения не имеют (если только не считать, что они вырости из беты). Оф. бета версия изменяется очень редко, только если обнаружат очень страшную дыру. Она предназначена для тестирования обычными юзерами а не разработчиками, как девелоперская версия.

Почесал > 14-09-2005 13:58:27

Нифига, в транк идут изменения в 1.6а1, а в бранч идет дальнейшее развитие беты, и сегодняшний билд из бранча -- это тоже бета. Можете сами посмотреть. Бета -- это НЕ продукт, поэтому для него нет ни патчей, ни чего-то там еще. Есть бранч-сборки.

Продукт -- это 1.0.6 (скоро 1.0.7)

LattyF > 14-09-2005 14:33:59

Ой, ладно, вас не переспоришь :) Всегда бета была бетой, а дев. сборки, дев. сборками

Почесал > 14-09-2005 17:25:54

Ой, ладно, вас не переспоришь smile Всегда бета была бетой, а дев. сборки, дев. сборками

Курите маны!

Note: This is not the final release of our Web browser, it has been made available for testing purposes only, with no end-user support.

Теперь понятно? КАКОЙ ЕЩЕ ОТДЕЛЬНЫЙ ПАТЧ??? С ДУБА УПАЛИ??? ЧТО ТАКОЕ КАНАЛ ОБНОВЛЕНИЯ NIGHTLY ПРЕДСТАВЛЕНИЕ ИМЕЕТЕ??? КАКОЙ В ЗАД ПАТЧ??? ПАТЧ ДАВНО В БРАНЧЕ!!!

LattyF > 14-09-2005 18:21:18
gass512 пишет

Ой, ладно, вас не переспоришь smile Всегда бета была бетой, а дев. сборки, дев. сборками

Курите маны!

Только щас пересмотрел проектов 15. Такая фигня только в мозилле. В остальных дев. сборки распространяются отдельно от бета версии. Которая предназначена для тестирования обычными юзерами, а не разработчиками.

Маны тут непричем. Тут больше не GNU'шный опыт рулит. В GNU всегда все через одно место было и есть, а MoFo им парадирует. Это надо же придумать распространять среди обычных юзеров девелоперские билды. Фу...

Note: This is not the final release of our Web browser, it has been made available for testing purposes only, with no end-user support.

RELEASE!!! NOT BUILD!!! NOT NIGHTLY BUILD!!! IT'S RELEASE!!!

Почесал > 14-09-2005 19:49:45

RELEASE!!! NOT BUILD!!! NOT NIGHTLY BUILD!!! IT'S RELEASE!!!

Блин, короче чего Вам доказывать. Я просто тыкаю Вас носом в факты -- исправленый баг в следующем nightly-билде.

Думайте сами, решайте сами, как говорится. Beta -- не production release, чтобы для него патчи делать.

LattyF > 14-09-2005 20:04:55
gass512 пишет

Думайте сами, решайте сами, как говорится. Beta -- не production release, чтобы для него патчи делать.

Так вот вы о чем :) Конечно, для беты патчи не делают. Патчи только для номальных релизов, или в ночных. Сразу бы так и сказали ;)

Почесал > 14-09-2005 20:19:16

Так вот вы о чем smile Конечно, для беты патчи не делают. Патчи только для номальных релизов, или в ночных. Сразу бы так и сказали wink

А Вы про что? Я ж про то, что там человек возмущался, что для беты патча не выпустили.

LattyF > 14-09-2005 20:39:58
gass512 пишет

А Вы про что? Я ж про то, что там человек возмущался, что для беты патча не выпустили.

Я про то, что бета и ночная сборка --- это разные вещи. А патч, кстати, подходит.

Brem > 14-09-2005 22:34:59

мля люди убейте себя об стенку с разбегу!!!
Я вас спросил

А типа под бету патча нет???
(ведь уязвимость есть и в ней)

И всё!
Нет бы сразу сказать что нет и быть не может!
А вы тут товаристч gass512 начали оттопыривать пальцы и тупо флудить доказывая свою никому не нужную точку зрения...

roopix > 14-09-2005 22:36:39

мля люди убейте себя об стенку с разбегу!!!

уважаемый, читайте правила!

Почесал > 14-09-2005 22:37:56

А вы тут товаристч gass512 начали оттопыривать пальцы и тупо флудить доказывая свою никому не нужную точку зрения...

Я лишь сказал что ты дико ошибаешься. И это ТЫ начал флудить. Я ТЕБЕ сразу сказал, что патч в бранче.

Unghost > 14-09-2005 23:44:20

Обьясняю для танкистов:
Для обычных пользователей, каких 99%, предназначена стабильная сборка - на данный момент 1.0.6. Скоро выйдет 1.0.7. Кто новости читал - знает.
Для продвинутых пользователей, которые не боятся тестировать бета-версии продуктов предназначены бета-версии, то бишь 1.5b1, b2, RC1, RC2. Все они выходят из branch и стабильность branch builds (Gecko 1.8 b4) = стабильности бета-версий. В branch сборках не  добавляются никакие новые фичи - только багфиксы и то что называется вылизыванием сборки. Никаких изменений связанных с каким-либо риском.

Для тех кто не может жить не на острие прогресса предназначены trunk сборки, (Gecko 1.9 a1). Там идет живое развитие, куча новых фишек, каждый день что-нибудь ломают. Весело в общем.

JFK > 15-09-2005 18:50:55

Mozilla Firefox 1.0.7 and Mozilla 1.7.12 Release Candidates заплатки поставлены

alex33 > 17-09-2005 13:04:14

Утечка парольной информации в Mozilla Firefox
http://www.security.nnov.ru/Fnews19.html

alex33 > 19-09-2005 17:49:48

Утечка информации в FTP клиенте FileZilla (information leak)
http://www.security.nnov.ru/Fnews225.html

Unghost > 20-09-2005 01:13:37

Утечка информации в FTP клиенте FileZilla (information leak)

Какое это имеет отношение к Firefox?

LattyF > 21-09-2005 09:35:02

Выполнение произвольных команд в Mozilla Firefox

www.securitylab.ru пишет

21 сентября, 2005
Программа: Mozilla Firefox 1.0.6

Опасность: Высокая

Наличие эксплоита: Нет

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольные команды на целевой системе.

Уязвимость обнаружена в сценарии, который вызывается для обработки консольных команд, содержащихся в URL. Удаленный пользователь может заставить пользователя нажать на специально сформированную ссылку во внешнем приложении, которое использует Firefox в качестве браузера по умолчанию, и выполнить произвольные команды на системе с привилегиями текущего пользователя. Уязвимость существует только на Unix платформах.

URL производителей: www.mozilla.org/products/firefox/

Решение: Установите последнюю версию с сайта производителя.
Firefox Command Line URL Shell Command Injection

Skat > 21-09-2005 10:08:27

LattyF

Выполнение произвольных команд в Mozilla Firefox

От тебя я такого не ожидал :) Как-будто с луны свалился ;) Всё давно объявлено и пофиксенно.

LattyF > 21-09-2005 10:22:35
Skat пишет

От тебя я такого не ожидал :) Как-будто с луны свалился ;) Всё давно объявлено и пофиксенно.

Ты с начала почитай про что. Это только для юнихов версий фокса. И баг совершенно другой. Читайте внимательнее. А то что его пофиксили, это еще не значит, что писать не надо. Кто-то до сих пор сидит на 1.0.2 и должен знать про баги :) Так что здесь надо все баги вывешивать. Даже пофиксенные.

Skat > 22-09-2005 02:34:35

LattyF
А вот это разве не то?

* Fix for a potential buffer overflow vulnerability when loading a hostname with all soft-hyphens
* Fix to prevent URLs passed from external programs from being parsed by the shell (Linux only)
* Fix to prevent a crash when loading a Proxy Auto-Config (PAC) script that uses an "eval" statement
* Fix to restore InstallTrigger.getVersion() for Extension authors

LattyF > 22-09-2005 07:54:10

Вот я и говорю! Что пофиксили только 1.0.7 и транках с бранчами. А те у кого 1.0.6 ил 1.0.2? Эти люди тоже должны знать, что есть (или была) дыра в фоксе. Предупрежден, значит вооружен © Чей-то

Skat > 22-09-2005 11:34:18

LattyF
Тут в соседней теме типичная ситуация. Но какие там страсти разгорелись, просто ужас. :/ :)

Unghost > 22-09-2005 22:57:34

LattyF

Вот я и говорю! Что пофиксили только 1.0.7 и транках с бранчами. А те у кого 1.0.6 ил 1.0.2? Эти люди тоже должны знать, что есть (или была) дыра в фоксе.

А нечего было отключать автоматическое обновление, тем, которые с 1.0.2.

LattyF > 23-09-2005 08:04:37
Unghost пишет

А нечего было отключать автоматическое обновление, тем, которые с 1.0.2.

А если человек по GPRS в инет лазиет? Где 10 рублей метр. Вообщем надо сразу решить, пишем мы о пофиксенных багах, только об открытых или только о тех которые пофиксены только в транках и бетах. А за остальные посты пинать в PM (чтобы ветку не загаживать). Я предлагаю писать про все. Но не против писать только про незакрытые в релизах.

LattyF > 23-09-2005 09:52:13

Пока не решили вывешиваю еще одну дыру:

23 сентября, 2005
Программа: Mozilla Firefox версии до 1.0.7

Опасность: Средняя

Наличие эксплоита: Нет

Описание:
Уязвимость позволяет удаленному пользователю аварийно завершить работу браузера.

Удаленный пользователь может создать Proxy Auto-Config (PAC) сценарий со специально сформированным значением eval(), который, при загрузке, аварийно завершит работу браузера.

URL производителей: http://www.mozilla.org/products/firefox/

Решение: Установите исправленную версию (1.0.7) с сайта производителя.

Azathoth > 23-09-2005 12:02:53
Unghost пишет

Утечка информации в FTP клиенте FileZilla (information leak)

Какое это имеет отношение к Firefox?

Слышим звон, но не знаем где он :lol: Видимо "zilla" ассоциируется у народа только с известным брендом!!! Может это прогресс? =)

LattyF > 26-09-2005 11:18:46

И еще одна дырочка для старых версий:

26 сентября, 2005
Программа:
Mozilla версии до 1.7.12
Mozilla Firefox 1.0.6 и более ранние версии

Опасность: Высокая

Наличие эксплоита: Нет

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю выполнить произвольный код на целевой системе.

1. Удаленный пользователь может создать специально сформированное XBM изображение, вызвать переполнение буфера и выполнить произвольный код на целевой системе.

2. Удаленный пользователь может создать HTML страницу со специально сформированной Unicode последовательностью “zero-width non-joiner” и вызвать отказ в обслуживании браузера или выполнить произвольный код на системе.

3. Уязвимость существует при обработке XMLHttp запросов. Удаленный пользователь может создать специально сформированную HTML страницу, чтобы подменить XMLHttpRequest заголовки для эксплуатации других уязвимостей на системе или генерации XMLHttp запросов к другим хостам.

4. Удаленный пользователь может создать специально сформированную HTML страницу, которая подменит XML объекты и создаст XBL связку для выполнения произвольного JavaScript сценария с повышенными привилегиями.

5. Переполнение целочисленных обнаружено в механизме обработки Javascript. Удаленный пользователь может создать специально сформированную HTML страницу и выполнить произвольный код на целевой системе.

6. Удаленный пользователь может создать специально сформированный HTML код, которая откроет страницу 'about:' и выполнит произвольный Javascript сценарий с повышенными привилегиями.

URL производителей: mozilla.org

Решение: Установите последнюю версию с сайта производителя.

Почесал > 26-09-2005 12:01:37

Я вот думаю, они что, эти "находители уязвимостей" берут из security announcements у MoFo вычитывают и трезвонят на весь мир о своей "мегакрутости"? :)

LattyF > 26-09-2005 12:06:53
Почесал пишет

Я вот думаю, они что, эти "находители уязвимостей" берут из security announcements у MoFo вычитывают и трезвонят на весь мир о своей "мегакрутости"? :)

Так чтобы туда попасть, надо сначало чтобы кто-то уязвимость нашел :) Или ты думаешь, что MoFo сидит и ломает свои продукты?

Почесал > 26-09-2005 12:20:18

Так чтобы туда попасть, надо сначало чтобы кто-то уязвимость нашел smile Или ты думаешь, что MoFo сидит и ломает свои продукты?

Не, я про уязвимости к "старым" версиям продуктов. Типа 1.0.6 и ниже. Вот их постят и орут о своей крутости. Всякие security.nnov.ru или как ее там. И Секьюритилаб.

LattyF > 10-10-2005 07:43:42

А теперь совсем новенькая уязвимость. И что самое страшное — ей подвержены все стабильные версии.

http://www.securitylab.ru пишет

10 октября, 2005
Программа: Mozilla Firefox 1.0.7 и более ранние версии

Опасность: Высока

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный код на целевой системе.

Уязвимость существует при обработке параметра ширины HTML тега IFRAME. Удаленный пользователь может создать специально сформированную HTML страницу, указав в параметре width тега IFRAME значение '33333333', вызвать переполнение стека и выполнить произвольный код на целевой системе с привилегиями текущего пользователя или аварийно завершить работу браузера. Пример:

IFRAME WIDTH=33333333

URL производителя: www.mozilla.org/products/firefox/

Решение: Установите последнюю версию с сайта производителя.

Unghost > 10-10-2005 15:03:49

Флейм потер.
В теме ясно написано: "Обьявления об уязвимостях Firefox"
Сюда идут обьявления. И только.

TLev > 10-10-2005 23:40:07

в оригинальном сообщении говориться что подвержены только linux версии.

A stack overflow vulnerability exists within Firefox 1.0.7 and all prior
versions for linux which may allow for an attacker to execute arbitrary code on a targeted
host.

LattyF пишет

А теперь совсем новенькая уязвимость. И что самое страшное — ей подвержены все стабильные версии.

http://www.securitylab.ru пишет

10 октября, 2005
Программа: Mozilla Firefox 1.0.7 и более ранние версии

Опасность: Высока

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный код на целевой системе.

Уязвимость существует при обработке параметра ширины HTML тега IFRAME. Удаленный пользователь может создать специально сформированную HTML страницу, указав в параметре width тега IFRAME значение '33333333', вызвать переполнение стека и выполнить произвольный код на целевой системе с привилегиями текущего пользователя или аварийно завершить работу браузера. Пример:

IFRAME WIDTH=33333333

URL производителя: www.mozilla.org/products/firefox/

Решение: Установите последнюю версию с сайта производителя.