De Nederlandse beveiligingsonderzoeker Ronald van den Heetkamp onthulde dit weekend een nieuw beveiligingslek in de net gepatchte versie van Firefox, waardoor aanvallers persoonlijke informatie zouden kunnen achterhalen, maar Mozilla ontkent dit. "Chief Evangelist" Mike Shaver laat op zijn blog weten dat van den Heetkamp het bij het verkeerde eind heeft, en gebruikers geen risico lopen.

"Het is wel mogelijk om gevoelige gegevens te achterhalen mits aan bepaalde condities is voldaan. Zoals het XPIinstall.manifest bestand waar in geschreven wordt door de plugin: XULmaker. Deze schrijft het pad weg van de installatie map (echte pad). Mijn doel was om te laten zien dat websites de mogelijkheid hebben een 'browser' te 'browsen' en dat kan natuurlijk nooit de bedoeling zijn," zegt van den Heetkamp tegenover Security.NL.

Op zijn eigen weblog bijt hij harder van zich af en geeft hij Mozilla een veeg uit de pan. "Ze (Mozilla) beschuldigen me van het verspreiden van misinformatie. Mike Shaver wil niet dat ik vorderingen maak op het gebied van beveiliging, alleen omdat ik mijn mening over de perceptie van beveiligingslekken heb veranderd. Natuurlijk verander ik van mening over beveiligingszaken, omdat ik elke dag er meer over leer. Ik zou willen dat Mozilla het zelfde zou doen, maar ik denk dat dit tevergeefse hoop is."

Mozilla liegt
Volgens de Nederlandse beveiligingsonderzoeker horen browsers één richting op te gaan, en niet beide kanten op. "Toen Internet Explorer in het verleden de bestanden op je harde schijf kon lezen, werd het niet als een risico beschouwd. Vandaag de dag is dat het wel, omdat een browser volgens mij alleen maar gebruikt moet worden om andere servers te browsen."

Van den Heetkamp houdt vol dat hij verkeerd geïnterpreteerd is en dat het in theorie waarschijnlijk wel mogelijk is om persoonlijke gegevens uit te lezen. Daarnaast heeft hij nooit gezegd dat "directory traversal" mogelijk was, iets wat hem nu wel verweten wordt. "Waarschijnlijk voelen ze nu wat Microsoft de afgelopen jaren heeft doorgemaakt. Stop met het verkondigen dat je de veiligste browser bent, want het is gewoon een keiharde leugen."