Login Barrapunto
Nueva vulnerabilidad crítica en Firefox
purgossu nos cuenta: «Secunia ha publicado una vulnerabilidad crítica descubierta en Firefox 2.0.x, dando un total de 8 (sobre 12) agujeros de seguridad sin parchear (superando, por el momento, los de IE 7).
El error, que aparentemente sólo afecta a la versión para Windows, se ejecuta al escribir una URL tipo "firefoxurl://" en Internet Explorer, pero sólo afecta al navegador libre. La única solución ofrecida hasta ahora es "no navegar por ninguna web que no sea de confianza" (o usar otro navegador más seguro :) ).
Más información y pruebas de concepto.»
Historias relacionadas
[+]
Descubiertas vulnerabilidades críticas en Photoshop 26 comentarios
purgossu nos cuenta: «Parece que es época de fallos críticos: si en esta misma semana fue el turno de Fx/IE, luego Java y después Flash, ahora le toca a la popular aplicación de diseño de Adobe. Los fallos de seguridad en cuestión podrían permitir a un atacante hacerse con el control del sistema tras abrir, empleando las versiones CS2 o CS3 de Photoshop, un archivo BMP, DIB, RLE o PNG con código malicioso. Ya se han publicado los parches de seguridad pertinentes en la web de Adobe.»
[+]
Fallo de Firefox permite ejecución remota en Windows 78 comentarios
El pasado 25/07 se publicó una nueva vulnerabilidad crítica en el navegador Firefox que permite el control completo de una máquina Windows de forma remota. El fallo afecta a usuarios de Firefox que tengan además instalado el IE7... aunque según señala Billy (BK) Rios en su blog el fallo puede afectar a otros navegadores no basados en Mozilla. El problema se debe a la forma que tiene el sistema operativo Windows de tratar las URI incluídas en el registro, y que son pasadas a las aplicaciones sin validar. Rios recomienda a los desarrolladores no incluír URIs en el registro de Windows o deregistrar las que ya estén allí. Según Rios Mozilla Foundation ya ha tenía el parche como FIXED en el Bugzilla el día 24, al poco de notificarlo el mismo Ríos, así que los que los que usemos Firefox en Windows tendremos que estar atentos a no dejar pasar la actualización. Por si hay dudas, aquí tenéis la prueba de concepto de este fallo.
[+]
Vulnerabilidad crítica de día cero en Mozilla Firefox 3.x 11 comentarios
Se ha descubierto una vulnerabilidad crítica en Firefox que afecta a todas las plataformas y que podría permitir la ejecución de código con un archivo XML especialmente manipulado.
El equipo de desarrollo de Mozilla ha calificado la vulnerabilidad como crítica y urgente, y afirman que ya lo tienen solucionado (se trata simplemente del cambio de orden en una línea de código), pero que no publicarán Firefox 3.0.8 hasta principios de la semana que viene. Si el fallo es también reproducible en Thunderbird, es previsible que haya que esperar incluso más tiempo para que se publique una nueva versión.
Elektro se hace también eco de la noticia en su bitácora.
Los exploits de día cero son aquellos liberados antes de que se publiquen los parches, y por tanto existe una ventana de tiempo en que la vulnerabilidad puede ser explotada sin que haya parches para prevenirlo.
Este hilo ha sido archivado.
No pueden publicarse nuevos comentarios.
Y recuerda: Los comentarios que siguen pertenecen a las personas que los han enviado. No somos responsables de los mismos.
La "única" solución
(Puntos:3, Informativo)desde otro punto de vista
(Puntos:2, Informativo)¿Y FirefoxHTML?
(Puntos:2)( http://barrapunto.com/ | Última bitácora: Lunes, 19 Enero de 2009, 19:31h )
pero este mismo comando aparece en HKEY_CLASSES_ROOT\FirefoxHTML\shell\open\command. ¿Es plausible que el problema se repita con ambas clases?
Marcos (cualquier parecido con la coincidencia es pura realidad)
¿Windows?
(Puntos:1, Divertido)¿Windows? ¿aun hay gente que usa eso?
Sólo si usas IE (u otro navegador no Firefox)
(Puntos:2, Informativo)( Última bitácora: Miércoles, 23 Enero de 2008, 18:43h )
Por otra parte recomiendan dos maneras sencillas de evitarlo: Desregistrar los firefoxurl o instalar http://noscript.net/ [noscript.net]
De modo que aquellos que naveguen usando únicamente Firefox (a menos que mediante otra vulnerabilidad, esta vez del sistema, se consiga que se ejecute IE, apuntando a la URL maliciosa) están seguros, de hecho yo mismo he hecho la prueba de pinchar en el enlace usando Firefox y aparece una ventana de advertencia (vaaaaale, todos sabemos el caso que se le hace a estas ventanas, pero al menos aparece) de que se necesita lanzar una aplicación externa para manejar estos enlaces.
V.V.V.V.V. Vi Veri Vniversum Vivus Vici "Por el poder de la verdad, mientras viva habre conquistado el Universo"
La prueba de concepto...
(Puntos:4, Informativo)( Última bitácora: Lunes, 02 Julio de 2007, 09:38h )
A mi no me ejecuta nada con la version 2.0.0.4 de windows. Sale un aviso como que va a ejecutar un programa externo (aceptar/cancelar) y dando aceptar abre otra ventana en blanco dentro del firefox.
Ejecuta rm -rf
Bueno, que tampoco creo que sea para tanto
(Puntos:2, Interesante)( http://luixrodriguezneches.wordpress.com/ )
Además, no es tan importante el número de errores de un software (aunque debo reconocer que es algo a tener en cuenta, por supuesto) como la GRAVEDAD de estos errores. Habría que ver la frecuencia con la que suceden y las consecuencias resultantes de los errores de cierto software...
De todos modos no olvidéis que ningún software con la configuración de fábrica es seguro, así que es recomendable dedicarle 5 minutos a repasar la configuración del Firefox, del NoScript y de lo que sea, o sino no estaréis de ningún modo seguros.
Pensamientos, divagaciones y estupideces [wordpress.com]
Re:Bueno, que tampoco creo que sea para tanto
(Puntos:5, Inspirado)( Última bitácora: Miércoles, 07 Enero de 2009, 15:58h )
¿Quién es más culpable?
(Puntos:1)( http://www.tecnolibres.com/ | Última bitácora: Jueves, 25 Septiembre de 2008, 22:25h )
Como dicen arriba, en kriptopolis mencionan que hay un debate sobre ello.
Yo no tengo tan claro que sea de firefox, aunque está claro que al menos en parte es problema suyo.
Si tenemos en cuenta quién debe/puede hacer la modificación correspondiente la respuesta sería ambos, pero teniendo en cuenta que los programas no tienen porqué saber qué otros programas pueden ejecutarlos...
El software libre sólo muere cuando la última copia del código fuente es borrada.
Creo, sospecho
(Puntos:3, Inspirado)( http://www.hispaciencia.com/ | Última bitácora: Martes, 04 Noviembre de 2008, 18:50h )
Justificación:
Enlace (tocho)
Peeeero el problema está en que no se escapan las comillas, por lo que la que hay justo detrás de test cierra, a ojos del Firefox, el parámetro url, por lo que lo demás se interpreta como más parámetros.
Usease. No se escapa la URL al pasarla como parametro: fallo del IE.
Omnes vulnerant, postuma necat.
Error en el título de la noticia.
(Puntos:3, Interesante)( http://barrapunto.com/ )
Pero, cuando vemos que el problema existe también con: irc://, aim://, hcp:// y mms://, ya se aclaran algunas dudas. Tenemos dos alternativas: que todas esas aplicaciones tengan errores de seguridad, o que el culpable del agujero sea Explorer. ¿Qué les parece?
V 2.0.0.5 solucionado
(Puntos:1)( Última bitácora: Miércoles, 23 Enero de 2008, 18:43h )
V.V.V.V.V. Vi Veri Vniversum Vivus Vici "Por el poder de la verdad, mientras viva habre conquistado el Universo"
Re:No entiendo
(Puntos:3, Informativo)( http://barrapunto.com/ | Última bitácora: Lunes, 19 Enero de 2009, 19:31h )
Marcos (cualquier parecido con la coincidencia es pura realidad)
Re:Demagogia
(Puntos:1)( http://www.tecnolibres.com/ | Última bitácora: Jueves, 25 Septiembre de 2008, 22:25h )
El software libre sólo muere cuando la última copia del código fuente es borrada.
Re:Adios
(Puntos:1)El IE tiene un fallo.
El fallo del firefox requiere del IE.
El fallo del IE funciona con otros handlers aparte de firefoxurl.
En el título de la noticia se menciona exclusivamente el firefox.
Ahora, dime que realmente te parece fuera de lugar que se hable de la vulnerabilidad del IE.