Noodoplossing voor ernstig Firefox-lek
Gisteren werd bekend dat er een ernstig beveiligingslek in Firefox 3.5 zit waardoor hackers kwetsbare systemen over kunnen nemen, maar Mozilla heeft een noodoplossing gepubliceerd. In afwachting van een patch adviseert de opensource-ontwikkelaar de volgende instructies uit te voeren en die weer terug te draaien als de update beschikbaar is. De kwetsbaarheid zit in de Just-in-time (JIT) JavaScript compiler van Firefox. Het uitschakelen ervan heeft gevolgen voor de snelheid waarmee Firefox JavaScript verwerkt. Verwacht na het uitvoeren van de volgende instructies verminderde prestaties:
1. Typ about:config in adresbalk van de browser.
2. Typ jit in de Filter box bovenaan de config editor.
3. Dubbelklik de regel met javascript.options.jit.content en verander de waarde in "false".
(In het screenshot rechts moet de waarde nog in false worden veranderd)
Heeft Mozilla het lek gepatcht, dan kan op de volgende manier de optie weer worden ingeschakeld:
1. Typ about:config in adresbalk van de browser.
2. Typ jit in de Filter box bovenaan de config editor.
3. Dubbelklik de regel met javascript.options.jit.content en verander de waarde in "true".
Mozilla laat weten dat het aan een beveiligingsupdate werkt, maar nog niet kan zeggen wanneer die precies verschijnt. "Een Firefox security update wordt pas verstuurd zodra de fix voltooid en getest is." Naast het uitschakelen van JIT kunnen Firefox-gebruikers ook NoScript installeren, dat ook bescherming tegen de exploit biedt.
Ik kan dan ook maar 1 ding concluderen ... NoScript Rulez !
Ik kan dan ook maar 1 ding concluderen ... NoScript Rulez !
Ik kan dan ook maar 1 ding concluderen ... NoScript Rulez !
Ik begrijp deze cynische reactie niet. NoScript is en blijft mijns inziens de beste plugin. Immers dwingt het bouwers van slechte website - het overgrote deel dus - tot het maken van betere sites en het op een juiste manier en plaats toepassen van Javascript e.d.
De door de schrijver gebezigde argumenten zijn dermate absurd en onjuist dat ze geen verdere bespreking behoeven. Het jammer maar je kunt het blijkbaar niet iedereen naar de zin maken.
Ik kan dan ook maar 1 ding concluderen ... NoScript Rulez !
Met de WOT plugin zie je al wat sneller of het een veilige site is, met een Sandboxie zit je ook beter.
Waarom gebruik je een plugin om niet te browsen (da's vast een grapje), de-installeren is in dit geval de beste optie.
Ik krijg soms het idee dat er een soort 'erecode' is onder de pers. Ik zie niet zo vaak de naam Windows vallen als het om browser gerelateerde problemen gaat. Het zijn meestal vage meldingen. Het zou helpen als het beestje bij de naam genoemd wordt.
Kortom, als het alleen om Windows systemen gaat mag dat er best bij staan. Als andere systemen hier niet kwetsbaar voor zijn hoeven die niet genoemd te worden.
Je krijgt dan een beter beeld over wie wel en niet maatregelen moeten nemen.
Admin rechten zijn niet altijd alleen de boosdoener. O.a. een gekaapte verbinding naar je bank kan ook in userland plaats vinden.
Hieronder je antwoord. Het is Windows only.
"The exploit portal Milw0rm has published an exploit for Firefox 3.5. The exploit demonstrates a security vulnerability by starting the Windows calculator. In testing by heise Security, the exploit crashed Firefox under Vista, but security service providers Secunia and VUPEN confirmed that attackers using prepared websites can infect PCs. The cause of the problem is a buffer overflow when processing specially prepared Font tags."
http://www.h-online.com/security/First-Zero-Day-Exploit-for-Firefox-3-5--/news/113761
Ik had eigenlijk al een vermoeden dat het Windows zou zijn.
"The exploit portal Milw0rm has published an exploit for Firefox 3.5. The exploit demonstrates a security vulnerability by starting the Windows calculator. In testing by heise Security, the exploit crashed Firefox under Vista, but security service providers Secunia and VUPEN confirmed that attackers using prepared websites can infect PCs. The cause of the problem is a buffer overflow when processing specially prepared Font tags."
http://www.h-online.com/security/First-Zero-Day-Exploit-for-Firefox-3-5--/news/113761
Ik had eigenlijk al een vermoeden dat het Windows zou zijn.
Aanvulling 16:06: zie https://bugzilla.mozilla.org/show_bug.cgi?id=503286
Product: Core
Component: JavaScript Engine
Version: 1.9.1 Branch
Platform: All All
Bronnen: http://isc.sans.org/diary.html?storyid=6796 en
http://blog.mozilla.com/security/2009/07/14/critical-javascript-vulnerability-in-firefox-35/
Met wat nu bekend is geldt het inderdaad alleen voor Windows. Het is meteen de reden waarom ik graag wil weten of het meerdere systemen aangaat. Ik word er met mijn Ubuntu pc nerveus van en ben me heel wel bewust dat het een kwestie van tijd is voor er echte cross-platform malware verschijnt.
Er was al eens een bug die de inhoud van het klembord kaapte op alle systemen, er zullen er vast meer volgen.
Struisvogelgedrag is wat jij er van maakt en is niet aan de orde.
Edit: typo
Edit 2: Je was sneller dan mij met je reactie, hulde.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.