"Mozilla Firefox -selaimesta on löytynyt kolme html-elementtien raahaustoimintoon (drag and drop) liittyvää haavoittuvuutta. Näiden avulla hyökkääjä voi tehdä cross site scripting -hyökkäyksen tai pahimmillaan saada tietokoneen hallintaansa.
Haavoittuvuuksien hyödyntäminen edellyttää käyttäjältä toimia, minkä vuoksi tietoturvayhtiö K-Otik luokittelee aukot matalaksi uhaksi.
Ensimmäinen aukko on saanut nimen "Firedragging". Se mahdollistaa suorittettavien tiedostojen tekemisen työpöydälle. Käyttäjän on siirrettävä kuvaksi naamioitu suoritettava tiedosto työpöydälle. Normaalisti selain tekee selainikkunasta työpöydälle siirrettävästä suoritettavasta tiedostosta linkin. Haavoittuvuuden avulla työpöydälle siirtyy kuitenkin koko tiedosto.
"Firetabbing" aukkon hyödyntämiseksi käyttäjän on raahattava linkki välilehdestä toiseen. Aukko kiertää selaimen turvaominaisuuden, joka estää skriptien suorittamisen toisen sivuston ikkunassa tai välilehdessä.
Kolmas aukko "Fireflashing" mahdollistaa asetusten muokkaamisen "about: config" -ikkunasta. Käyttäjän on tuplaklikattava tiettyä kohtaa selainikkunasta, jotta tämä onnistuisi. Lisäksi esimerkkihyväksikäyttö toimii vain, jos selaimeen on asennettu Flash 7.
Bugzillan raportin mukaan Firedragging-, Firetabbing- ja Fireflashing-aukoille on saatavissa korjaukset.
Haavoittuvuuksille on julkaistu proof-of-consept-esimerkkikoodit, jotka toimivat Firefox 1.0 -selaimella Windows-ympäristössä. Vastaavia ongelmia on myös Mozilla- ja Netscape-selaimissa. (Digitoday)"
Näin luki Tietokone sivuilla tiistain uutisissa.
Haavoittuvuuksien hyödyntäminen edellyttää käyttäjältä toimia, minkä vuoksi tietoturvayhtiö K-Otik luokittelee aukot matalaksi uhaksi.
Ensimmäinen aukko on saanut nimen "Firedragging". Se mahdollistaa suorittettavien tiedostojen tekemisen työpöydälle. Käyttäjän on siirrettävä kuvaksi naamioitu suoritettava tiedosto työpöydälle. Normaalisti selain tekee selainikkunasta työpöydälle siirrettävästä suoritettavasta tiedostosta linkin. Haavoittuvuuden avulla työpöydälle siirtyy kuitenkin koko tiedosto.
"Firetabbing" aukkon hyödyntämiseksi käyttäjän on raahattava linkki välilehdestä toiseen. Aukko kiertää selaimen turvaominaisuuden, joka estää skriptien suorittamisen toisen sivuston ikkunassa tai välilehdessä.
Kolmas aukko "Fireflashing" mahdollistaa asetusten muokkaamisen "about: config" -ikkunasta. Käyttäjän on tuplaklikattava tiettyä kohtaa selainikkunasta, jotta tämä onnistuisi. Lisäksi esimerkkihyväksikäyttö toimii vain, jos selaimeen on asennettu Flash 7.
Bugzillan raportin mukaan Firedragging-, Firetabbing- ja Fireflashing-aukoille on saatavissa korjaukset.
Haavoittuvuuksille on julkaistu proof-of-consept-esimerkkikoodit, jotka toimivat Firefox 1.0 -selaimella Windows-ympäristössä. Vastaavia ongelmia on myös Mozilla- ja Netscape-selaimissa. (Digitoday)"
Näin luki Tietokone sivuilla tiistain uutisissa.
Vastaukset 12
Vanhimmat
Niin kertokaa mistä osoitteesta saa UPDATEN? eli onks tietoa mistä saa hakee päivitykset? mulla ei ole??
No kyllä sen updaten saa varmaan itse mozillan sivuilta, mutta en tosiaankaan tiedä. Voisin itse oikeastaan käydä tsekkaamassa jos mozillan sivuilla jotain sanottaisiin tai odotella tietokone sivujen uutisia jos siellä kerrottaisiin, että onko mozilla firefoxin aukko putsattu ja neulottu umpeen.
Tuolta löytyy vähän tietoa http://terminaali.net/?action=article&articleid=806
Katsos löytyykös tuolta mitään http://www.mozilla.org/projects/security/known-vulnerabilities.html#mozilla1.7.2
Firefoxin 1.0.1 versio, jossa on tietoturvapäivityksiä ja pieniä korjauksia, ilmestyy lähiaikoina. Nämä nyt löytyneet aukot eivät ole kauhean vakavia, joten kiirettä uuden version ulostyöntämisellä ei vielä ole.
Toukokuussa tulee sitten 1.1 versio, jossa on jo vähän isompia mullistuksia.
---
Firefox tutuksi: http://firefox.maayas.net/
Keskustelu: http://firefox.maayas.net/keskustelu/
Olen eri mieltä VesaP kanssa "Nämä nyt löytyneet aukot eivät ole kauhean vakavia"
Pahimmassa tapauksessa näiden avulla hyökkääjä voi tehdä cross site scripting -hyökkäyksen tai vakavimmillaan saada tietokoneen hallintaansa."
Että noi aukot kyllä kannattaa ottaa tosissaan eikä vähätellä niitä
Päivitetään ????
Miten saan tietooni selaimeni version ???
Ohje -> Tietoja Mozilla Firefoxista
Tiesitkö että pitämällä tietokoneen yhdistettynä Internetiin, saattaa pahimmassa tapauksessa joku murtautua koska vain koneelle ja ottaa sen hallintaansa ja puskea täyteen roskapostitusohjelmia ja muuta töhnää? Ilman että huomaat mitään?
Nuo kaikki haavoittuvuudet vaativat, että käyttäjä on jonkinasteisella huijaussivustolla. Ja ovat vieläpä sellaisia asioita, joita ei jatkuvalla syötöllä tehdä: en ainakaan itse ole koskaan vetänyt kuvatiedostoa työpöydälle, vienyt linkkiä välilehdeltä toiselle tai tuplaklikannut jossakin tietyssä herkässä kohdassa about:config -sivulla. Kuten keskustelun avaavassa viestissä sanotaan, nämä aukot on todettu matalaksi uhaksi - kaikki Firefoxin aukot ovat tällä hetkellä tällaisia.
Tosissaan minäkin nämä aukot otan, mutta järjen kanssa: jos ne vaativat jotakin mitä en ole koskaan tehnyt ja tuskin tulen koskaan tekemään, en näe aihetta pitää kiirettä. Päivitän kyllä kun päivitys tulee, se on selvä. Tämä kuitenkin selvittänee, miksi uutta versiota ei ole vielä tullut: jos aukot olisivat monien IE:n aukkojen tapaan vakavia, olisi päivityksillä tosi kiire. Vakavan aukon ja harmittoman aukon ero on siinä, että vakava aukko ei vaadi käyttäjältä mitään toimenpidettä. Vain sen että ohjelma on päällä.
Firefoxissa on automaattinen päivitys ja se on oletusasetuksella päällä. Selaimen oikeaan yläreunaan ilmestyy alaspäin sojottava nuolikuvake sinne missä on sivun lataamista kuvaava kuva. Siitä painamalla ladataan uudet päivitykset. Sitä voi siis tarkkailla. Sieltä selviää myös laajennusten päivitykset.
Jos haluat itse varmistaa että päivitystoiminto on käytössä: Työkalut > Asetukset... > Lisäasetukset > Ohjelmistopäivitykset
Toisaalta tänne kyllä varmasti tulee viesti siitä, että uusi versio on julkistettu :)
Hienoa että sinä tiedät sen..mutta tietääkö joku peräkylän mummo tai pappa,ettei kannata vetää kuva tiedosta työpöydälle?
Toivottavasti ne nyt luki sinun viestisi ja ymmärsivät sen. Hienoa että olet valveutunt turva asioissa. Jatka samaan malliin.
kirjoitat osoiteriville:
about: