Exploit-code Firefox en Netscape op internet

Lek in Netscape nog niet gedicht

23 september 2005 | Nico Vandenabeele Code om een veiligheidslek in oudere versies van Firefox en Mozilla Suite te misbruiken, heeft zijn weg gevonden naar het internet. De browser van Netscape is nog steeds kwetsbaar voor het lek.

De code maakt gebruik van een fout in de manier waarop de browsers omgaan met internationale domeinnamen (internetadressen met internationale lettertekens). De kwetsbaarheid werd twee weken geleden openbaar gemaakt.

Deze week kwam Mozilla met een nieuwe versie van Firefox (1.0.7) en Mozilla Suite (1.7.12) Deze updates timmeren het lek dicht en maken het gebruik van internationale domeinnamen weer mogelijk.

Opvallend is dat de auteur van de exploit code, de Nederlander Berend-Jan Wever, niet gewacht heeft op een gepatchte versie van Netscape, een browser die gebruik maakt van dezelfde basiscode als Firefox. Meestal wachten beveiligingsexperts met het publiceren van exploit code, om de makers van de software voldoende tijd te geven het nieuw ontdekte lek te dichten.

In de bijhorende introductie verdedigt Wever zijn beslissing om toch de exploit code op het net te gooien: "Omdat Netscape niet gereageerd heeft op berichten over de kwetsbaarheid, heb ik besloten om de code te publiceren. De code is geoptimaliseerd voor Firefox, dat wel een patch uit heeft, maar werkt in uitzonderlijke gevallen ook bij Netscape."

Mozilla heeft gebruikers van oudere versies van Firefox en Mozilla Suite opgeroepen om zo snel mogelijk de upgrade te maken naar de laatste versie. Netscape-gebruikers kunnen in afwachting van een patch beter even een andere browser gaan gebruiken. Firfox bijvoorbeeld. Lees meer artikels over : netscape, firefox, mozilla, exploit

bron: ZDNet