Nova vulnerabilidade descoberta no Firefox 3.5.1

Na quinta-feira passada a Mozilla lançou o Firefox 3.5.1 com o intuito de resolver vários problemas com a versão 3.5 e para resolver uma falha grave ao nível do motor de javascript. Inclusive a Mozilla aconselhava mesmo a desligar o motor JavaScript JIT (Just-In-Time), escrevendo na barra de endereços about:config e escreva jit no campo de filtragem. Depois era somente dar dois cliques sobre o javascript.options.jit.content e alterar o valor True para False. Ficando assim a função desligada.

Agora, existem relatos confirmados de uma segunda vulnerabilidade poder explorar uma pilha de funções overflow do buffer permitindo acções remotas através do browser.

 

A vulnerabilidade foi relatada à SecurityFocus (BID 35.707) em 15 de Julho. Esta manhã, um relatório do SANS Internet Storm Center, seguido de um alerta da IBM ISS X-Force, confirmou que esta vulnerabilidade está presente no Firefox 3.5.1.

A vulnerabilidade é uma pilha de funções overflow do buffer, tendo origem numa string de código em Unicode. Esta acção usa um método já conhecido de exaustão dos serviços e recursos do browser que os levam a falhar (crashes, freezes, etc…), tudo em volta do pedido demasiado longo ao document.write. Pode ver aqui a falha exemplificada e como é simples a sua estrutura.

Segundo várias fontes, não há patch neste momento para aniquilar a vulnerabilidade. Além disso, esta vulnerabilidade foi descoberta pela mesma pessoa que divulgou detalhes sobre a falha anteriormente corrigida.

De acordo com um comentário no SANS ISC, eEye disse que neste caso não ajudaria nada instalar a extensão noscript*.

“Nota: Embora o acesso ao Javascript possa ser restrito com add-ons do tipo noscript, pode ainda ser possível que o navegador seja explorado por esta vulnerabilidade, basta para isso que o site carregado seja de confiança do utilizador e esteja a propagar esta invasão.

Outra das situações que o utilizador poderá optar é por desligar a interpretação de JavaScipt pelo browser. para isso vá ao menu Ferramentas, Opções e no separador Conteúdo, desliga a opção Activar JavaScrpt.

Novamente, este procedimento não é 100% seguro pois em páginas que sejam de sua confiança continua a existir a tal vulnerabilidade.

Conforme o browser vai crescendo e satisfazendo mais utilizadores, torna-se também mais problemático, situação por nós conhecida do Internet Explorer. A Mozilla tem contudo tentado colmatar rapidamente os problemas, mas estes estão a tornar-se cada vez mais frequentes. Veremos se a versão 3.5 do Firefox não será uma dor de cabeça para a Mozilla.

Anúncios

Deixe uma Resposta

Preencha os seus detalhes abaixo ou clique num ícone para iniciar sessão:

Logótipo da WordPress.com

Está a comentar usando a sua conta WordPress.com Terminar Sessão / Alterar )

Imagem do Twitter

Está a comentar usando a sua conta Twitter Terminar Sessão / Alterar )

Facebook photo

Está a comentar usando a sua conta Facebook Terminar Sessão / Alterar )

Google+ photo

Está a comentar usando a sua conta Google+ Terminar Sessão / Alterar )

Connecting to %s