Tweet

0

Update Firefox 3 maakt tapijtbom onschadelijk

Drie kritieke lekken gedicht

Mozilla heeft in zijn eerste grote beveiligingsupdate voor Firefox 3 een kritiek 'tapijtbomlek' gerepareerd; een kwetsbaarheid die de Safari-browser voor Windows veel kritiek opleverde.

Twee onderzoekers ontdekten dat Firefox 3 in gesloten toestand vatbaar is voor een aanval die plaatsvindt als een concurrerende browser is geopend. Als een aanvaller besmettelijke code heeft geïnjecteerd in de Mozilla-browser, kan malware de oversteek maken naar de harde schijf. Volgens de specialisten werkt de truc alleen wanneer Firefox 3 zelf niet draait.

Twee andere lekken
Naast het tapijtbomlek, dat ook van toepassing is op Firefox 2, moest twee Mozilla twee andere grote lekken dichten. De stichting bestempelt alle drie als kritiek.

Een van de kwetsbaarheden geldt alleen voor de Mac-versie. Een kwaadaardig GIF-beeldbestand kan Firefox 3 laten crashen, wat de deur opent voor aanvallen.

Het laatste lek zorgt voor een kwetsbaarheid in meerdere Mozilla-producten, waaronder Thunderbird en Seamonkey. De openbronners raden gebruikers van het desktopmailprogramma aan om JavaScript onklaar te maken zolang dit euvel nog niet is verholpen. De kwetsbaarheid werd vlak na Download Day 2008 ontdekt door het Zero Day Initiative dat zijn bevindingen meldde aan het Mozilla-beveiligingsteam.

Versie 3.0.1 komt een maand na de langverwachte lancering van Firefox 3. Mozilla zal de update binnen 24 tot 48 uur aanbieden aan bestaande gebruikers en raadt nieuwe gebruikers aan om meteen over te stappen.

Update 14.30 uur:
Een van de kritieke lekken die Mozilla dichtstopt, werd vlak na de lancering ontdekt door het Zero Day Initiative. Dat maakt van Firefox 3.0.1, in tegenstelling tot wat eerder werd vermeld, de eerste reparatie van Firefox 3.0.

bron: ZDNet