Информационный портал Пируса Е.М. (математика, информатика)

В браузере Firefox найдена критическая «дыра»
Дата: 28.03.2009
Тема: Новости из Интернета


 
В браузере Firefox, разрабатывающемся сообществом Mozilla, обнаружена критически опасная уязвимость, патча для которой пока не существует.

Патч или заплатка (англ. patch /pæt/ — заплатка) — автоматизированное отдельно поставляемое программное средство, используемое для устранения проблем в программном обеспечении (источник - Википедия).

О «дыре» стало известно от эксперта в области безопасности Гуидо Ланди (Guido Landi), который опубликовал пример вредоносного кода на нескольких сайтах в сети. «Брешь» теоретически позволяет злоумышленникам получить несанкционированный доступ к удаленному компьютеру и выполнить на нем произвольный программный код.

Эксплоит атакует дыру, имеющуюся в версиях Firefox для Windows, Mac и Linux. Он позволяет тайно запустить вредоносное программное обеспечение на машинах пользователей, посещающих подставные сайты. По информации SecurityFocus, баг связан с ошибкой в определении граничных условий при обработке синтаксиса XML.

Уязвимость присутствует в модификациях Firefox для всех операционных систем, в том числе для Mac OS X и Linux. Сообщество Mozilla подтвердило наличие проблемы, заметив, что занимается разработкой соответствующей «заплатки». Ожидается, что обновленная версия Firefox с индексом 3.0.8 будет выпущена в начале следующей недели.


Отметим, что это уже вторая уязвимость Firefox, о которой стало известно за последние две недели. На прошлой неделе кандидат на степень магистра из университета города Ольденбурга, Германия продемонстрировал обнаруженную из уязвимость, позволяющую скомпрометировать безопасность браузера. На момент написания новости никаких данных о случаях реальных атак, использующих эти уязвимости, нет, однако ничто не удерживает злоумышленников от того, чтобы превратить опубликованный в среду демонстрационный код в полноценную рабочую атаку.

Mozilla намеревается закрыть обе уязвимости, выпустив 1-го апреля новую версию своего браузера за номером 3.0.8. Добавим лишь, что аддон для Firefox под названием NoScript, как это обычно бывает в подобных случаях, помогает минимизировать риск успешного нападения.

По данным статистики компании Net Applications, рыночная доля Firefox сейчас составляет около 22%. Для сравнения: браузером Internet Explorer пользуется более 67% владельцев компьютеров с доступом в сеть.

Детальное описание уязвимости

Уязвимость позволяет удаленному злоумышленнику выполнить DoS атаку на целевую систему. Уязвимость существует из-за ошибки в проверке входных данных при обработке XSL таблиц стилей. Атакующий может передать специально сформированные данные, что приведет к отказу системы в обслуживании.

Эксплоит:

http://milw0rm.com/sploits/2009-ffox-poc.tar.gz




Это статья опубликована на сайте: http://pirus.org.ua
Ссылка на эту статью: http://pirus.org.ua/index.php?name=News&file=article&sid=228