Nieuws
image

Eerste lek in Firefox 1.5 ontdekt inclusief PoC exploit

donderdag 8 december 2005, 10:20 door Redactie, 10 reacties

Amper een week na het verschijnen van de nieuwste Firefox versie is er een lek in de open-source browser gevonden waardoor een aanvaller een buffer overflow of een denial of service zou kunnen veroorzaken. Er is inmiddels "proof-of-concept" code verschenen om het lek te misbruiken.

Het probleem zit hem in het history.dat bestand, dat informatie van bezochte websites opslaat. Als het onderwerp van een pagina lang genoeg is, dan zal de browser elke keer crashen nadat zo'n pagina bezocht is. De browser kan daarna alleen nog worden gestart als het history.dat bestand met de hand wordt verwijderd. Het zou zelfs mogelijk zijn dat een aanvaller het onderwerp kan gebruiken voor het installeren van malware op de machine.

Voor het lek is nog geen patch beschikbaar, maar door naar Tools -> Options te gaan, en dan via het Privacy icoontje het opslaan van de History op 0 dagen te zetten, zou het probleem verholpen kunnen worden. (ISC)

Reacties (10)
08-12-2005, 11:00 door Anoniem
ben gisteren met de allerlaatste release van Java en FF en een geupdate
NOD32 en de hele joela aan Ad- en Spyware catchers, eens op een
cracksite gaan rondneuzen; had meteen een Java-Trojan geínstalleerd, en
die kon Nod32 zelfs niet verwijderen. Manueel kon wel. Ik hoop dat dit
relevant genoeg is om gelezen te worden door andere kandidaat-
rondneuzers: voel u niet al te veilig!
08-12-2005, 11:03 door Anoniem
is dat een lek?, lijkt mij een programmeerfoutje.

Beginnen we niet een beetje hysterisch te worden zo
langzamerhand?
08-12-2005, 11:36 door SirDice
Door Anoniem
is dat een lek?, lijkt mij een programmeerfoutje.
this proof of concept will only prevent someone from reopening their browser after being exploited. DoS if you will. however, code execution is possible with some modifcations.
Een lek dus.. (lekken zijn meestal het gevolg van programmeerfoutjes)
08-12-2005, 11:41 door Anoniem
Het lijkt erop dat Firefox steeds meer een volwaardige
browser begint te worden. Met alles erop en eraan, inclusief
foutjes.
Een goed teken!
08-12-2005, 17:40 door G-Force
Door Anoniem
ben gisteren met de allerlaatste release van Java en FF en een geupdate
NOD32 en de hele joela aan Ad- en Spyware catchers, eens op een
cracksite gaan rondneuzen; had meteen een Java-Trojan geínstalleerd, en
die kon Nod32 zelfs niet verwijderen. Manueel kon wel. Ik hoop dat dit
relevant genoeg is om gelezen te worden door andere kandidaat-
rondneuzers: voel u niet al te veilig!

Moraal van het verhaal : ga de goden niet verzoeken.
08-12-2005, 17:40 door G-Force
Door SirDice
Door Anoniem
is dat een lek?, lijkt mij een programmeerfoutje.
this proof of concept will only prevent someone from reopening their
browser after being exploited. DoS if you will. however, code execution is
possible with some modifcations.
Een lek dus.. (lekken zijn meestal het gevolg van programmeerfoutjes)

Volgens mij hebben ze nooit goed leren programmeren...
08-12-2005, 17:46 door SirDice
Door Peter.V
Volgens mij hebben ze nooit goed leren programmeren...
Programmeurs zijn mensen en mensen maken nu eenmaal fouten..

Een computer een programma laten schrijven? Gaat ook niet
werken.. Die computer is immers ook door mensen
ontworpen/gemaakt..
08-12-2005, 18:57 door Anoniem
Ik vraag me af of het hier wel om een buffer overflow gaat. Bij mij neemt
firefox heel even 99% CPU in, maar na een minuutje wachten is alles weer
normaal en werkt de browser gewoon. Dan kun je ook gewoon je history
clearen vanuit je browser is alles weer opgelost. Dit lijkt me dus niet heel
interessant.
09-12-2005, 02:50 door G-Force
Wat me wel opvalt is dat Firefox 1.5 een stuk sneller werkt dan zijn
voorgangers. Werkelijk een pluspunt.
09-12-2005, 15:46 door Anoniem
Wat me wel opvalt is dat het genoemde lek al maanden bestaat. Waar blijft
nou die geroemde snelle levering van repareerpatches? Niet dus.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search