» »

Huda ranljivost v Firefoxu

Huda ranljivost v Firefoxu

Slo-Tech - Redko se zgodi, da varnostne ranljivosti v brskalnikih pridejo na prve strani novinarskih hiš. Najnovejša ranljivost v več verzijah brskalnika Firefox je dovolj resna, da se je zgodilo tudi to. Ker popravka še ni, SI-CERT v vmesnem času svetuje uporabo drugih brskalnikov. V Mozilli že pripravljajo popravek, ki ga bodo izdali v najkrajšem možnem času.

V brskalniku Firefox v verzijah od 41 do 50 so odkrili nezakrpano ranljivost, ki jo napadalci že izkoriščajo (zero-day). To pomeni tudi, da je ranljiv brskalnik v Tor Bundlu, kjer je inačica Firefox 45 ESR. Pravzaprav so bili Torovci tisti, ki so napako prvi odkrili in potrdili. Napad na ranljivost izkorišča prekoračitev predpomnilnika kopice (heap overflow bug) in potrebuje vključen JavaScript. V tem primeru lahko napadalec pridobi nadzor nad računalnikom, ki poganja Windows, če uporabnik obišče okuženo spletno stran. To je tudi potrebni pogoj za napad.

Analize kode, ki se uporablja za napad, je pokazala, da na računalnik naloži kos programja (payload), ki je domala identičen tistemu iz leta 2013, ko so z njim deanonimizirali obiskovalce strani z otroško pornografijo, čeprav so ti tja prispeli prek omrežja Tor. Tedaj je za napadom stal FBI. To pot okuženi računalniki komunicirajo z IP-naslovom, ki pripada francoskemu operaterju OVH.

Verzija Firefox 50.0.1, ki je izšla v ponedeljek, ranljivosti ne odpravlja.

44 komentarjev

čuhalev ::

Nimam Windows sistema, nimam skrbi. 8-)

M.B. ::

@batt67: Same here. Ravno ta podatek pa je manjkal na vseh ostalih novicah, razen te in originalne v tujem jeziku.
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.

leiito ::

A to pomeni, če uporabljam tor bundle na macu, da me ne morjo čez kompjuter ujet, če mamile na darknetu kupujem? Ker sicer, kolikor razumem, je razvoj tora financirala NSA, najbrž ni bil plan teroristom in podobnim omogočit anonimnost in varnost komunikacij z denarjem ameriških davkoplačevalcev.

Zgodovina sprememb…

  • predlagal izbris: srnjak ()

konspirator ::

FF 50.0.1 je ranljiv ?
--

bluefish ::

Zgodovina sprememb…

  • spremenil: bluefish ()

Saul Goodman ::

kako pa istemu TOR omrežju pojasniš, da ga enkrat uporablja NSA agent na terenu in _potrebuje_ anonimnost in varnost komunikacij, drugič pa pedo? cmon.

TOR je samo še ena plast, ki jo uporabiš. če si kdaj uspel prebrati leakane varnostne napotke agentom tričrkovnih agencij, je za "ustrezno" zaščito komunikacije in zagotavljanje anonimnosti veliko več korakov, kot le namestitev TOR-a.

folk je premalo paranoičen pri teh zadevah, zato se ujamejo na kakšno limanico. teroristov verjetno ne bodo velik ujel s tem 0-dayem. neprimerno manj, kot ostalih nepridipravov, ki prej ali slej postanejo površni pri zagotavljanju lastne anonimnosti/varnosti.

konspirator ::

FF 50.0.1 je izšel 28.11, zgornja ranljivosti danes, torej je ranljiv (vsaj na win sistemih).
--

matijadmin ::

leiito je izjavil:

A to pomeni, če uporabljam tor bundle na macu, da me ne morjo čez kompjuter ujet, če mamile na darknetu kupujem? Ker sicer, kolikor razumem, je razvoj tora financirala NSA, najbrž ni bil plan teroristom in podobnim omogočit anonimnost in varnost komunikacij z denarjem ameriških davkoplačevalcev.


NSA prav gotovo ni financira Tor Projecta. Malo pogooglaj preden kvasiš take neumnosti.
Vrnite nam techno!

Ganon ::

Imam Windows sistem, nimam skrbi. 8-)

mtosev ::

tole pišem iz palemoona. a tud on ima to ranljivost?
drugače upam, da čim prej to uredijo
Core i9 10900X, ASUS Prime X299 Edition 30, 32GB 4x8 3600Mhz G.skill, CM H500M,
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro
moj oče darko 1960-2016, moj labradorec max 2002-2013

BorutK-73 ::

Verzije do 40 so ok? Še dobro da ne zbrišem takoj starih verzij, najstarejša je ravno 40.0.2:)

Zgodovina sprememb…

Saul Goodman ::

stare verzije imajo stare ranljivosti. morda so imune na to ranljivost, ne pa za 100 drugih, odkritih v preteklosti.

hojnikb ::

mtosev je izjavil:

tole pišem iz palemoona. a tud on ima to ranljivost?
drugače upam, da čim prej to uredijo

nop
#brezpodpisa

konspirator ::

Zakaj nebi imel, če gre za izpeljanko iz ff ?
--

mtosev ::

engine ima drug. ne vem, če ima to kakšne veze al ne
Core i9 10900X, ASUS Prime X299 Edition 30, 32GB 4x8 3600Mhz G.skill, CM H500M,
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro
moj oče darko 1960-2016, moj labradorec max 2002-2013

misek ::

Nekje sem prebral
Firefox 50 uses sandboxing so this is not a big threat.
Ampak kot kaže v tem primeru ne pomaga?

dev ::

Kako dolgo pa se že ve za to ranljivost? Zanima me odzivnost Mozille na takšne ranljivosti, po tem ko so objavljene?
All we have to decide is what to do with the time that is given to us.

MrStein ::

Napad na ranljivost izkorišča prekoračitev predpomnilnika kopice (heap overflow bug)

Na wordfence (link) piše "not a heap overflow".
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Nagi Bator ::

mtosev je izjavil:

tole pišem iz palemoona. a tud on ima to ranljivost?
drugače upam, da čim prej to uredijo

Pale Moon je "pre 41. FF version fork", ce so moje informacije pravilne.
Potem glede na informacije naj ne bi bil prizadet? Ce imam res prav, pa naj nekdo pametnejsi potrdi.

Evo uradni odziv.
V glavnem ne vejo, a upajo da ne ;((

Zgodovina sprememb…

crystal ::

linux spet 'imam sreco' :D

tony1 ::

Resno? FF na Linuxu ni ranljiv? Zakaj tega ne piše v novici?

Sem se že sekiral, kaj bom jutri lavfal na šihtu :D

SambaShare ::

Malo nazaj heartbleed, zdaj pa tole. Toliko o varnem open source programju in fami kako ker bo kodo videlo več ljudi, bo zanjo tudi več popravkov.

V realnosti pa nihče, ki je to sposoben, tega ne bo šel delat iz veselja. Je pa v veliko pomoč tistim ki aktivno iščejo luknje.

MrStein ::

Saj tudi če kdo vidi bug, ga prijavi, pa še popravek pripravi, še ne pomeni, da bo tudi dejansko popravljen.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Spc ::

Kaj pa FireFox 51 beta 4 ?
 

Zgodovina sprememb…

  • spremenil: Spc ()

bambam20 ::

Upam, da tole luknjo kmalu zakrpajo.

Evo,že drugi update dons. 50.0.02

#000000 ::

sej je že 50.0.2 zunaj upam da pofixan

tony1 ::

Je torej to rešitev problema?

Nič določenega ni navedeno, samo "Various security fixes":
https://www.mozilla.org/en-US/firefox/5...

MrStein ::

Začasno sem šel na IE (ja, vem...) in ..
A vam tudi popolnoma zmešano prikaže strani iz tomshardware forum-a?

Recimo:
http://www.tomshardware.co.uk/forum/247...
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

popster ::

Samo je to res problem Mozzile ali Microsofta? Mi ni cisto jasno koga je potrebno obtozit tule.

ratek ::

čuhalev ::

... and can now be used by anyone to attack Firefox users is a clear demonstration of how supposedly limited government hacking can become a threat to the broader Web.

Kukuruz, Mozilla nič kriva. :))

Spc ::

Ravnokar sta izšla:
FireFox 50.0.2
FireFox 51 beta 5

Oba bi naj popravila 0 day vulnerability.
 

Spc ::

Stestirano na teh verzijah:

Currently, all tests look good to me.

We tested:
- 45.5.1esr
- 50.0.2
- 51.0b5

platform:
- Windows 7 64bit
- Mac OS X 10.12.1
- Ubuntu 14.04 LTS 64-bit

Fix works on all 9 combinations. We also have a glance on web-compatibility and graphic smoke test and didn't find significant issues.
 

damirb03 ::

Popravljeno z verzijo 50.0.2

https://www.mozilla.org/en-US/security/...

Zgodovina sprememb…

  • spremenil: damirb03 ()

boolsheat ::

Android tudi ponovno blesti:
http://blog.checkpoint.com/2016/11/30/1...

Rias Gremory ::

SambaShare je izjavil:

Malo nazaj heartbleed, zdaj pa tole. Toliko o varnem open source programju in fami kako ker bo kodo videlo več ljudi, bo zanjo tudi več popravkov.

V realnosti pa nihče, ki je to sposoben, tega ne bo šel delat iz veselja. Je pa v veliko pomoč tistim ki aktivno iščejo luknje.

No ampak vsaj Windowsi so vrhunec varnosti. Aja ne, ker tam popravijo samo tisto kar najdejo (no, kar jim Google najde 8-)).
Mirno gledamo, kako naš svet propada,
saj za časa našega življenja ne bo popolnoma propadel.

matijadmin ::

Rias Gremory je izjavil:

SambaShare je izjavil:

Malo nazaj heartbleed, zdaj pa tole. Toliko o varnem open source programju in fami kako ker bo kodo videlo več ljudi, bo zanjo tudi več popravkov.

V realnosti pa nihče, ki je to sposoben, tega ne bo šel delat iz veselja. Je pa v veliko pomoč tistim ki aktivno iščejo luknje.

No ampak vsaj Windowsi so vrhunec varnosti. Aja ne, ker tam popravijo samo tisto kar najdejo (no, kar jim Google najde 8-)).

Privzeto varnega sistema ni. No, nekoc je ta primat imel openbsd, vendar je zanasanje na to povsem zgreseno. Ampak, da ne skrenem, Windows z nekaj ukrepi sodi kar med varnejse os.
Vrnite nam techno!

Highlag ::

Koliko OS pa obstaja, da je Windows med varnejšimi? Torej med skupino katerih treh operacijskih sistemov? Me samo firbec matra.
Never trust a computer you can't throw out a window

filipk ::

Highlag je izjavil:

Koliko OS pa obstaja, da je Windows med varnejšimi? Torej med skupino katerih treh operacijskih sistemov? Me samo firbec matra.

Število operacijskih sistemov je neprešteto. Za veliko večino širša javnost sploh ne ve, ker so pač v vgrajenih napravah in ne v osebnih računalnikih.

boolsheat ::

Zakaj se v st novicah ne piše o (ne) varnosti androida, ki ga uporablja precej več ljudi kot npr. FF?

Zgodovina sprememb…

  • predlagal izbris: matijadmin ()

Invictus ::

Zato, ker Googlu ponavadi traja 3 leta da odpravi, pa še to samo za najnovejše telefone.

Stari telefoni so obsojeni na luknje.

ST pa tudi ne more non stop tega objavljati. Potem bomo smo še to brali.
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

Zgodovina sprememb…

  • predlagal izbris: matijadmin ()

Dr_M ::

Ne govorte takih stvari, k vas bodo androidni in google fanatiki na grmadi zazgal.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.

Zgodovina sprememb…

  • predlagal izbris: matijadmin ()

Rias Gremory ::

boolsheat je izjavil:

Zakaj se v st novicah ne piše o (ne) varnosti androida, ki ga uporablja precej več ljudi kot npr. FF?

Novice lahko piše kdorkoli.
Mirno gledamo, kako naš svet propada,
saj za časa našega življenja ne bo popolnoma propadel.

M.B. ::

Zanimivo da je problem odprtokodnost Firefoxa pri tem da ta exploit ne deluje na Firefoxu na Linuxu in Macu ampak samo Firefoxu na Windowsu. Nekak ni samo FF problem :)

Ne pustit fizičnega dostopa do računalnika med upgradom windowsow. Članek.
Ko se sistem nadgrajuje na novo verzijo, recimo na Anniversary Update, zadostuje držati tipki Shift + F10, pa se odpre ukazni poziv s polnimi sistemskimi (v praksi enako administratorskimi) privilegiji. Pri nameščanju se izključi tudi orodje za šifriranje BitLocker, da lahko Windows PE (preinstallation environment) normalno dostopa do diska in namesti novo verzijo.
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Microsoftu že leta 2013 vdrli v bazo ranljivosti

Oddelek: Novice / Varnost
64265 (3516) Matwic
»

FBI raje odstopil od pregona pedofila kakor razkril ranljivost Tora

Oddelek: Novice / Tožbe
2513647 (11092) WildChild
»

Odkrita nova ranljivost v Chromu

Oddelek: Novice / Varnost
378395 (5806) BlueRunner
»

Napad z ničelno predpono na SSL/TLS certifikate že "v divjini"

Oddelek: Novice / Varnost
415919 (4297) McMallar
»

Varnostna ranljivost v Sendmail ter MSIE hrošči

Oddelek: Novice / Varnost
163817 (1786) MrStein

Več podobnih tem