Nueva actualización de seguridad de Firefox
Por Jesús Cea Avión (Hispasec) [25-04-2005]
La fundación Mozilla ha publicado la versión 1.0.3 de su navegador web Firefox, con la que soluciona varios problemas de seguridad.
Mozilla es un entorno de código abierto multiplataforma, de gran calidad, nacido a partir de una iniciativa de Netscape. Firefox es el componente navegador web del proyecto Mozilla, un producto de calidad y popularidad creciente, con más de 25 millones de descargas.
Se acaba de publicar la versión 1.0.3 de Firefox, con la que se solucionan los siguientes problemas de seguridad:
* Debido a un bug de programación del intérprete de JavaScript del navegador, un script puede llegar a acceder a memoria interna del navegador web, y revelar posiblemente información potencialmente sensible.
* Un error en la gestión de "PLUGINSPAGE" cuando no tenemos instalado el "plugin" correspondiente permite ejecutar código JavaScript con privilegios locales.
* Si el usuario tiene filtrados los "popups", pero decide activar uno puntualmente de forma manual, y dicho "Popup" contiene código JavaScript, éste se ejecutará con privilegios locales.
* Una página web maliciosa puede instalar código JavaScript que será ejecutado en el contexto de la próxima página cargada. Esto puede utilizarse para acceder a información sensible (claves, "cookies") o realizar operaciones maliciosas sobre dicha web, con las credenciales del usuario.
* Una página web maliciosa puede ejecutar código JavaScript con privilegios locales, a través de enlaces "favicon" (los pequeños iconos en la barra y en la libreta de direcciones ).
* Un código JavaScript malicioso, instalado como "plugin" de búsqueda, puede ejecutarse con los privilegios de la página cargada cuando se realiza la búsqueda. Ello permite acceder a los datos de su contexto (por ejemplo, "cookies"), filtrar información confidencial o realizar operaciones maliciosas con las credenciales del usuario.
* Dos fallos de seguridad permiten que una página maliciosa ejecute código con privilegios locales, a través de la modificación en tiempo de ejecución de páginas privilegiadas (por ejemplo, "about:config").
* Los objetos que gestionan la instalación de extensiones aceptaban objetos arbitrarios incorrectamente. Eso podría permitir la ejecución de código arbitrario, en el peor de los casos.
* La sobreescritura de objetos DOM privilegiados en memoria puede permitir la ejecución de código JavaScript con privilegios elevados.
Hispasec recomienda a todos los usuarios de Firefox que actualicen a la versión 1.0.3. Es de destacar la premura con la que la fundación Mozilla soluciona los problemas de seguridad que le son comunicados. Y es de destacar, también, que sigan manteniendo los "boletines Mozilla" para los informes de fallos de seguridad de sus productos.
fuente el portal de tecnologias de la información
Por Jesús Cea Avión (Hispasec) [25-04-2005]
La fundación Mozilla ha publicado la versión 1.0.3 de su navegador web Firefox, con la que soluciona varios problemas de seguridad.
Mozilla es un entorno de código abierto multiplataforma, de gran calidad, nacido a partir de una iniciativa de Netscape. Firefox es el componente navegador web del proyecto Mozilla, un producto de calidad y popularidad creciente, con más de 25 millones de descargas.
Se acaba de publicar la versión 1.0.3 de Firefox, con la que se solucionan los siguientes problemas de seguridad:
* Debido a un bug de programación del intérprete de JavaScript del navegador, un script puede llegar a acceder a memoria interna del navegador web, y revelar posiblemente información potencialmente sensible.
* Un error en la gestión de "PLUGINSPAGE" cuando no tenemos instalado el "plugin" correspondiente permite ejecutar código JavaScript con privilegios locales.
* Si el usuario tiene filtrados los "popups", pero decide activar uno puntualmente de forma manual, y dicho "Popup" contiene código JavaScript, éste se ejecutará con privilegios locales.
* Una página web maliciosa puede instalar código JavaScript que será ejecutado en el contexto de la próxima página cargada. Esto puede utilizarse para acceder a información sensible (claves, "cookies") o realizar operaciones maliciosas sobre dicha web, con las credenciales del usuario.
* Una página web maliciosa puede ejecutar código JavaScript con privilegios locales, a través de enlaces "favicon" (los pequeños iconos en la barra y en la libreta de direcciones ).
* Un código JavaScript malicioso, instalado como "plugin" de búsqueda, puede ejecutarse con los privilegios de la página cargada cuando se realiza la búsqueda. Ello permite acceder a los datos de su contexto (por ejemplo, "cookies"), filtrar información confidencial o realizar operaciones maliciosas con las credenciales del usuario.
* Dos fallos de seguridad permiten que una página maliciosa ejecute código con privilegios locales, a través de la modificación en tiempo de ejecución de páginas privilegiadas (por ejemplo, "about:config").
* Los objetos que gestionan la instalación de extensiones aceptaban objetos arbitrarios incorrectamente. Eso podría permitir la ejecución de código arbitrario, en el peor de los casos.
* La sobreescritura de objetos DOM privilegiados en memoria puede permitir la ejecución de código JavaScript con privilegios elevados.
Hispasec recomienda a todos los usuarios de Firefox que actualicen a la versión 1.0.3. Es de destacar la premura con la que la fundación Mozilla soluciona los problemas de seguridad que le son comunicados. Y es de destacar, también, que sigan manteniendo los "boletines Mozilla" para los informes de fallos de seguridad de sus productos.
fuente el portal de tecnologias de la información
