(Και) Κατά του Firefox η Γερμανία

[FarCry]

Με τον δημοφιλή browser της Firefox τα έβαλε η γερμανική κυβέρνηση, μόλις δύο μήνες μετά την «επίθεση» που άσκησε και στον Internet Explorer.

 

Το γερμανικό ομοσπονδιακό γραφείο την Διαδικτυακή Ασφάλεια συνέστησε τη Δευτέρα (22/3) στους πολίτες να χρησιμοποιήσουν άλλον browser, καθώς ο Firefox (όπως επιβεβαίωσαν και οι δημιουργοί του) μπορεί να γίνει ευάλωτος σε hackers που τοποθετούν ιούς στους υπολογιστές των χρηστών.

 

Σύμφωνα με τους δημιουργούς του Firefox , μέσα στον επόμενο μήνα αναμένεται η καινούρια έκδοση 3.6.2, με την οποία δεν θα υπάρχει πια αυτός ο κίνδυνος, έκδοση που υπάρχει σε δοκιμαστική μορφή αλλά δεν έχει εξεταστεί πλήρως.

 

Η Γερμανία πάντως επιμένει πως οι χρήστες θα πρέπει να χρησιμοποιήσουν κάποιο άλλο browser τουλάχιστον μέχρι να κυκλοφορήσει και επίσημα η καινούρια έκδοση του Firefox.

 

Πηγή: cosmo.gr

[PCharon]

Δεν είναι ούτε "η Γερμανία" ούτε ακριβώς "η κυβέρνηση".

http://www.theregister.co.uk/2010/03/22/germany_firefox_warning/

"BürgerCERT, a division of the German federal government's security in information technology (BSI) department..."

είναι η Bürger-CERT

[Tilemaxx]

Όλοι Maxthon παίδες

[PCharon]

Όλοι Maxthon παίδες

Με τη μηχανή του ΙΕ?

[x_revenge]

opera και παλι opera

[Linus_21]

πορεί να γίνει ευάλωτος σε hackers που τοποθετούν ιούς στους υπολογιστές των χρηστών

 

Υπάρχει κάποιος browser που δεν μπορεί να γίνει ευάλωτος, αν πατήσει ο χρήστης στο Click Here to see xXXxx pics free??

[STORM1978]

Υπάρχει κάποιος browser που δεν μπορεί να γίνει ευάλωτος, αν πατήσει ο χρήστης στο Click Here to see xXXxx pics free??

 

σωστος!!!!!:lol::lol::lol::lol::lol::lol::lol:

[parsifal]

Σύμφωνα με τους δημιουργούς του Firefox , μέσα στον επόμενο μήνα αναμένεται η καινούρια έκδοση 3.6.2, με την οποία δεν θα υπάρχει πια αυτός ο κίνδυνος, έκδοση που υπάρχει σε δοκιμαστική μορφή αλλά δεν έχει εξεταστεί πλήρως.

 

Ποιον «επόμενο μήνα»; Μόλις έλεγξα (Help > Check for Updates) και μου εμφάνισε διαθέσιμο το συγκεκριμένο update. Έκανα restart τον FF τρέχοντάς τον ως Administrator και το update πέρασε κανονικά:

 

 

Με γεια μου, και με τις ευλογίες επιπλέον των Γερμανών!

 

 

Εδώ και τα release notes: http://www.mozilla.com/en-US/firefox/3.6.2/releasenotes

Επεξ/σία 23 Μαρτίου 2010 από parsifal

[Snoob]

Κάποιος "ασκεί κριτική" ή "εξαπολύει επίθεση" (βαρύτερο του "επιτίθεται"). Το σίγουρο είναι ότι δεν "ασκεί επίθεση".

 

Συγγνώμη για το grammar (syntax) nazi interlude, επί της ουσίας: καλές οι προειδοποιήσεις, αλλά επειδή και την πρώτη φορά, στην περίπτωση του ΙΕ, και τώρα, με το Firefox, μένουν στη γενική προτροπή "χρησιμοποιείστε άλλον browser", μήπως να μας έλεγαν ποιους browser θεωρούν ασφαλείς;

 

Επίσης, όχι ότι χρειάζεται επιβεβαίωση ο parsifal, πράγματι η έκδοση 3.6.2 είναι διαθέσιμη.

[parsifal]

επειδή και την πρώτη φορά, στην περίπτωση του ΙΕ, και τώρα, με το Firefox, μένουν στη γενική προτροπή "χρησιμοποιείστε άλλον browser", μήπως να μας έλεγαν ποιους browser θεωρούν ασφαλείς;

 

Caveat emptor.

 

Ποιος θα αναλάβει την ευθύνη να υποδείξει στο κοινό άλλο προϊόν που μπορεί να μην πάσχει από το συγκεκριμένο κενό ασφαλείας, αλλά πιθανόν να πάσχει από πλήθος άλλων, καταγεγραμμένων ή μή... ;

[Galio]

παλι καλα που βγαινουν αυτα τα νεα, δεν ειχα παρει χαμπαρι οτι εχει καινουρια εκδοση ο FF

[aquasonic]

Click Here to see xXXxx pics free

 

Παιδια ειμαι με opera εδω και το link δεν δουλευει καποιος admin ας το κοιταξει

[parsifal]

Ακολουθεί λίγο κουτσομπολίστικο παρασκήνιο γύρω από την ιστορία με το συγκεκριμένο κενό ασφαλείας.

 

Η Secunia εξέδωσε στις 18/2/2010 το υπ' αριθμόν SA38608 security advisory σχετικά με το κενό αυτό. Φημολογείται ότι το γνωστοποίησε στη Secunia Ρώσος hacker ονόματι Evgeny Legerov που σχετίζεται με την εταιρεία Intevydis. Η Intevydis, μεταξύ άλλων, κατασκευάζει ένα add-on για την penetration testing σουίτα Immunity CANVAS, το VulnDisco Pack Professional. Το VulnDisco υποτίθεται ότι περιέχει proof-of-concept test και για το συγκεκριμένο κενό ασφαλείας του FF.

 

Οι Μοζιλλάδες επικοινώνησαν με τη Secunia για διευκρινίσεις σχετικά με το advisory (αν επί παραδείγματι έχει επαληθεύσει το κενό ασφαλείας) αλλά η απάντηση ήταν αρνητική. Χαρακτηριστικά, αξιωματούχος της Secunia (Thomas Kristensen) προς τον security consultant Sebastian Klipper, σχολίασε:

This particular report is a bit special because of the lack of information available. Normally, we do not write about vulnerabilities unless certain details are available and / or we can test it. (…) and previous vulnerabilities reported by this company / person has proved to be reliable.

 

Σε επικοινωνία με τον Legerov για επαλήθευση και πληροφορίες σχετικά με το κενό ώστε να γίνει απόπειρα διόρθωσής του σε επόμενη έκδοση του FF επίσης δεν υπήρξε απάντηση. Μέχρι την 18/3 που τελικά ο Legerov αποκάλυψε τις απαραίτητες πληροφορίες ώστε να καταστεί δυνατό το πατσάρισμα του κενού.

 

Διαβάστε και τα παρακάτω:

http://blog.mozilla.com/security/2010/02/22/secunia-advisory-sa38608/

http://www.h-online.com/security/news/item/Zero-day-exploit-for-Firefox-3-6-936124.html

https://forum.immunityinc.com/board/thread/1161/vulndisco-9-0/?page=1#post-1165

http://blog.psi2.de/en/2010/02/20/going-commercial-with-firefox-vulnerabilities/comment-page-1/#comment-666

http://blog.mozilla.com/security/2010/03/18/update-on-secunia-advisory-sa38608/

 

 

 

Πολλή σπέκουλα στα διάφορα σχόλια, όπως:

 

1. Τα κλασσικά περί MS-biased Secunia και πλάγιου χτυπήματός της στο open source λογισμικό

2. Υποθέσεις ότι ο Legerov ζήτησε χρήματα για την αποκάλυψη αυτών των πληροφοριών (γι' αυτό και οι χαρακτηρισμοί black-hat hacker/blackhatter στα σχόλια του Mozilla Security Blog)

3. Η υπόθεση του «χαμένου»blog : Στο intevydis.blogspot.com (το blog εμφανίζεται αυτήν τη στιγμή ως διεγραμμένο) ανέβηκε στις 4/3/2010 post (εδώ από Google Cache) από χρήστη με όνομα Evgeny Legerov ως απάντηση σε όσους υποστήριζαν ότι τα περί κενού ασφαλείας ήταν hoax. Επίσης, εξέφρασε άρνηση συνεργασίας με τη Mozilla:

I've ignored emails from Nick Farrell and from Mozilla, please do not waste my and your time anymore

Επεξ/σία 23 Μαρτίου 2010 από parsifal

[Snoob]

Αυτές τις προειδοποιήσεις για κενά ασφαλείας, η συγκεκριμένη αρχή τις άρει κάποια στιγμή;

[stefa_1]

μουν θυμα δυστυχως του κενου ασφαλειας.Εχω το Avira antivirus σε συνδιασμο με hardware firewall.Δεν μπηκα σε καμια πονηρη σελιδα παρα μονο σε τορρεντς.(private tracker για την ακριβεια)Ετσι στα ξαφνικα μετα απο restart ανοιγω το firefox και μου βγαζει το google στα ολλανδικα.Εν τω μεταξυ αρχισαν να σμβαινουν και αλλα περιεργα στον υπολογιστη.Στη διαχειριση εργασιων τιποτα το περιεργο.Το περιεργο ηταν πως το avira ειχε εξαφανιστει και εγκατασταθηκε ενα αλλο fake antivirus προγραμμα.Επισης δεν μπορουσα να εγκαταστησω κανενα αλλο antivirus/antispyware ,ουτε καν σε safe mode.Συνεχιζοντας απενεργοποιηθηκε η επιλογη για task manager και εγκατεστησα το teamviewer για να βοηθησω τον πατερα μου απομακρυσμενα να το φτιαξω.Στην πρωτη προσπαθεια τα καταφερα να συνδεθω.Στη δευτερη μολις συνδεομουνα στο απομακρυσμενο desktop,με πετουσε μετα απο μερικα δευτερολεπτα,και στην τριτη προσπαθεια εξαφανιστηκαν τελειως τα στοιχεια προσβασης απο το teamviewer.

Ολα λυθηκαν μετα απο ενα system restore,ωστοσο ομως δεν ανοιγε οτι ειχε σχεση με το google.Στην τελικη το εκανα ενα φορματ και τωρα βλεπω αυτο το πραγμα.Το γυρισα σε opera για λιγο διαστημα.