Con Mozilla lanzando el récord mundial de Guinness más descargado para Firefox 3 en 24 horas, no tardó mucho en colocar una bomba en toda la diversión de navegación. Punto crítico DVLABS informa que su plan de plan de día cero (ZDI) ha obtenido vulnerabilidades clave que afectan a Firefox 3.0 y versiones anteriores de Firefox 2.0.x.
¿Se obtendrán 8 millones de surfistas de Firefox 3 recientemente en la web debido a un navegador roto?
Por supuesto, romper es solo una fábula extraña. De hecho, tanto DVLabs como Mozilla están envueltos en detalles, por lo que es difícil decir cuán frágil es Firefox 3.
«El desarrollo exitoso de un atacante puede permitir que un atacante ejecute un código arbitrario. A diferencia de la mayoría de las vulnerabilidades basadas en el navegador que vemos hoy, requiere la interacción del usuario, como hacer clic en un enlace en un correo electrónico o acceder a una página web maliciosa», señaló Dvlabs.
Entonces, ¿cómo se desliza la vulnerabilidad a través de todos los planes, edificios y pruebas en un navegador ampliamente utilizado como Firefox? Antes del lanzamiento oficial, Mozilla tenía muchas betas y candidatos a liberar, ¿hubo suficientes oportunidades para encontrar el problema antes?
proceso
Los DVLAB verificaron la vulnerabilidad, obtuvieron la vulnerabilidad de los investigadores y la informaron a Mozilla. DVLABS silenciará los detalles, al menos para períodos de tiempo no revelados, dando tiempo a Mozilla para publicar correcciones de errores.
TipingPoint compró vulnerabilidades de investigadores de seguridad, algunas personas simplemente llamaron «hackers». Además de las intenciones buenas y malas, TipingPoint compró vulnerabilidades basadas en la gravedad del defecto y el alcance del problema. Cuantas más descargas y exageraciones sobre defectos, más importante es. Por lo tanto, es muy probable que el vendedor lo adquiera a un precio más alto.
En este caso, los investigadores de seguridad quieren permanecer en el anonimato, y la aguja mantendrá la identidad del vendedor.
DVLABS no respondió a una solicitud de comentarios. Mozilla lo señaló Blog de seguridadproporciona algunos otros detalles.
«Este problema se está investigando actualmente. Para proteger a nuestros usuarios, los detalles del problema se cerrarán hasta que se proporcione el parche. No existe una exploit pública, los detalles son privados, por lo que hay poco riesgo para el usuario», señaló Windows Snyder, jefe del equipo de seguridad de Mozilla.
Esperar pacientemente
Por supuesto, el mayor problema ahora es que Mozra puede completar la reparación.
«Teniendo en cuenta lo alto que es, sospecho que es una solución muy rápida», dijo Rich Mogull, un consultor de seguridad independiente. Securisosis.comdile a LinuxInsider.
«Tal vez los peores días, pero es difícil de adivinar. Realmente depende de la naturaleza de la vulnerabilidad y del trabajo requerido para generar y probar la solución correctamente», agregó.
En cuanto al riesgo real para los usuarios, Mogull dijo que el riesgo es muy pequeño. «Como parte del programa ZDI, no hay detalles de la liberación de la vulnerabilidad, y quién encontró legalmente prohibido liberar los detalles. Si bien pueden violar el contrato, no se les paga», explicó. También pueden estar abiertos al litigio, agregó.
Limpio y arriesgado
Desafortunadamente, simplemente evitar sitios porno sospechosos y redes de intercambio de archivos infectados no garantiza que los surfistas web no estén a salvo de enlaces malicioso. Incluso los surfistas de limpieza chirriantes se encuentran en peligro.
«Gracias a las secuencias de comandos entre sitios, hemos visto que los sitios web de confianza se convierten en vectores de ataques basados en el navegador», dijo Mogel. Aunque señala que este problema en particular no parece existir en la naturaleza, aún debería resolverse pronto, de todos modos.
