Mozilla patcht ernstige SSL-lekken in Firefox
Twee weken na de vorige update, heeft Mozilla weer een belangrijke patch voor Firefox-gebruikers uitgebracht. Firefox 3.5.2 verhelpt de problemen met SSL-certificaten die tijdens de Black Hat conferentie onthuld werden. Zo kan een aanvaller een SSL-certificaat met een null karakter aanvragen, bijvoorbeeld Paypal.com\0.nepsite.com. Niet alleen keurt de uitgevende Certificate Authority dit goed, de browser negeert de karakters na het null karakter. Daardoor kunnen phishers SSL-certificaten voor legitieme websites aanvragen die niet van henzelf zijn. Het probleem werd door beveiligingsonderzoekers Dan Kaminsky en Moxie Marlinspike ontdekt.
En dat is niet het enige probleem met SSL-certificaten in Firefox. Een probleem in de code die reguliere expressies in certificaten verwerkt, maakt het mogelijk om een certificaat van kwaadaardige code te voorzien en zo de browser en vervolgens het gehele systeem over te nemen. Het derde probleem met SSL-certificaten is volgens Mozilla minder ernstig, maar heeft het wel gepatcht. Een aanvaller kon via een kwaadaardige website een nieuwe tab laden die een gespoofte URL in de adresbalk liet zien. Als de kwaadaardige website van een geldig certificaat was voorzien, nam het gespoofte adres de SSL-indicatoren, zoals een slotje en blauwe balk voor de URL, over.
Via de overige drie kwetsbaarheden kon een aanvaller in twee gevallen willekeurige code uitvoeren. Afhankelijk van de rechten van de ingelogde gebruiker, was het dan mogelijk om het gehele systeem over te nemen.
Firefox 3.0.x
Naast Firefox 3.5 is er ook een update voor Firefox 3.0.x uitgebracht. Versie 3.0.13 verhelpt 3 beveiligingslekken, die allemaal SSL-gerelateerd zijn. De overige problemen waar Firefox 3.5 te maken heeft, zijn niet in de 3.0.x versie aanwezig. Het is niet de eerste keer dat problemen alleen de nieuwe versie treffen. Zo'n drie weken geleden werd er een zero-day beveiligingslek in Firefox 3.5 actief door aanvallers misbruikt. De kwetsbaarheid was niet in Firefox 3.0.x aanwezig. Updaten naar de nieuwe versies kan via de browser zelf of Mozilla.com.
Ohhh, en de certificaatproblemen met IE dan?
Werkt ook perfect. Geeft aan of de cert. real of fake is. Software is ook van MS.
Nee hoor. Hoe meer veiligheidslekken er voor een product zijn, des te belangrijker is die speler op de markt. Lekken in software die praktisch niemand gebruikt hebben veel minder tot geen media exposure. Andersom redenerend betekent dat dus dat firefox een veel dankbaarder platform is die veel meer in de belangstelling staat, en dus wordt er meer gevonden.
Je kan pas de balans opmaken als beide producten zijn vervangen door iets anders, maar dat duurt nog wel een paar jaartjes heh.
Van slashdot.org: " While the release appears to coincide with a patch from Mozilla, every product that uses the Microsoft CryptoAPI is still vulnerable, including Internet Explorer and Outlook."
Redactie: besteed wat meer tijd aan het doornemen van je nieuws; net als het vorige artikel over dit ssl probleem dat op een blackhat conferentie aangekaart is, heeft u ook nu weer Firefox uitgelicht omdat ze aan het werk zijn om patches uit te voeren. U verzuimt echter in beide artikelen te vermelden wat er nog meer kwetsbaar is en nog niet gepatched!
Zonder nu de wijsneus uit te willen hangen, doe ik het toch.
Nar ruim 30 jaar professionele IT ervaring kan ik alleen maar zeggen, fouten worden gemaakt. (punt)
Het echt belangrijke is, hoe ze opgelost worden.... Wie niet waagt, die niet wint, wie niet schijt, die niet stinkt.... de stelling was deze: 'hoe zonder trouwen, toch te kezen' .... ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.