Firefox 2.0.0.5 için kritik uzaktan kod çalıştırma açığı

Yns_
28 Temmuz 2007 , 1 dakika okuma süresi

Firefox'un yeni çıkan sürümünde ciddi bir açık bulundu, billy'nin bloğundan örnekleri görmek mümkün.

Açık, dinamik sitelerdeki link verme kodlarını da etkiliyebiliyor, regex'i iyi yazılmamış herhangi bir URL bbcode'u ile veya "A" etiketine izin veren herhangi bir sistemde rahatlıkla sömürülebiliyor.

Şu an için bildiğim kadarıyla genel bir yama yayımlanmadı, yayımlanana kadar bağlantılara tıklamadan önce dikkat etsek iyi olacak sanırım :)

Güvenlik

Görüşler

smacker
18 yıl önce

Bu sorunu ortadan kaldırmanın yolu 1991'de bulundu.

Yns_
18 yıl önce

bu arada bugzilla'da resmi olmayan bir patch yayınlanmış durumda.

gnnaahh
18 yıl önce

Kusura bakmayin tam geyik bir yorum yapacagim.
-ki ler bitisik daha hos!

Demekki acik kaynak kapali kaynaktan pekte ileri seviyede degilmis.
Demekki kaynak acik olunca guvenlik daha hizli saglaniyormus.
Demekki sorun ne zeka seviyesinde nede ahlaktaymis. Sorun populer olmaktaymis.

Guvenli olacaksaniz populer olmakyacaksin.

Guruh adamin uzagini yakinini bir yapar valla :P

pvc
18 yıl önce

Demek ki kapalı kaynak açık kaynaktan daha gerideymiş.
Demek ki kaynak kapalı olunca unoffical patch çıkarılamıyormuş.
Demek ki sorun ne iq seviyesinde nede cahillikteymiş. Sorun saçma sapan yazma hastalığıymış.

Güvenli olacaksanız açık kaynak kullanacaksınız.

Yoksa kasap önünde ciğer bekleyen kedi gibi yama beklersiniz.

anonim
18 yıl önce

http://secunia.com/product/12434/?task=advisories adresindeki "Unpatched 46% (6 of 13 Secunia advisories)" ibaresinden görüleceği üzere

Demek ki Firefox açık kaynağın nimetlerinden yararlanamamaktaymış.

pvc
18 yıl önce

Firefox'dan bahseden kim? Açık kaynak, kapalı kaynaga göre yamalanabilir özellige sahiptir diyoruz. Buda açık kaynagı diğerine göre 1 adım önde kılar.

Kodları kapalı bir programa istesen de yama çıkaramazsın ama ne oldugunu bildigin bir şeye yama yapılabilir.

Yoksa konumuz şu program o nimetlerden yararlanamıyormuş değil ki.

Böyle basit saptırmalarla çıkıyor polemikler zaten.

gnnaahh
18 yıl önce

Sizi bir yerelere mudur yapsalar mudurseniz emekli yapsalarda biraz tatil yapsaniz.

everestk
18 yıl önce

Firefox 2.0.0.6 versiyonu çıktı.
Yapılan Değişiklikler :
Fixed in Firefox 2.0.0.6
MFSA 2007-27 Unescaped URIs passed to external programs
MFSA 2007-26 Privilege escalation through chrome-loaded about:blank windows

pvc
18 yıl önce

Açık kaynak kapalı kaynaktan daha ileri seviyededir. Bunu biliyor musan? Çünkü açık kaynak için unoffical patch'ler çıkabilir. Birileri açığı önceden farkeder ve kapatabilir. Ama kapalı kaynak sözgelimi Micisoft, o zaman sadece onların vicdanına kalırsın... Yama çıksa diye dua edip çıkınca zevke gelir, Billy amcanın gözlük camlarını yalarsın.

Açık kaynak çok daha iyidir. En azından sorunların giderilmesi için M$ ve Billy amcayı beklemek zorunda kalmıyorsun...

rao
18 yıl önce

şu ifade dikkatinizi çekmedi mi??

These examples are launched through the Firefox browser, but require the user to have Internet Explorer 7 installed on their machine

Problem firefox da ise IE 7 ne alaka??

Bende IE 7 yok,olmayacak ta,WinXP ile gelip kurulan IE 6.0.(bilmem kaç var) ve o linklere tıklayınca gmail bana oturum aç diyor başka bir şey de olmuyor.

pvc
18 yıl önce

O yazıyı nereden yapıştırdınız?

rao
18 yıl önce

eğer benim yazdığım metin ise haberde adı geçen billy nin blog undan

http://xs-sniper.com/blog/remote-command-exec-firefox-2005/

****NOTE****
diye belirtilmiş olan bölgedeki ilk cümle

Yns_
18 yıl önce

Keşke Firefox geliştiricileri de senin gibi düşünseydi de, kapatmasalardı açığı..

En "geek" örnek olarak web tasarımcılarını gösterebilmek mümkün.

Zira, müşteriler firefox fanatiği ya da internet explorer düşmanı değil. Dolayısıyla bir site geliştirirken, yazdığınız her css/xhtml kodunu Internet Explorer/Firefox gibi favori tarayicilarda denemek zorundasiniz.

ve evet burada asil nokta ikisinin de yüklü olması, ve ikisinin de yüklü olduğunda bu açığın 'exploit' edilebilmesi...

rao
18 yıl önce

sanırsam yanlış anlaşıldık, IE 7 yok sorun da yok manasında yazmadım bunun direkt olarak firefox'a mal edilmesi manasında yazmıştım.

neyse uzatmanın da bir manası yok.

Görüş belirtmek için giriş yapın...

İlgili Yazılar

Phrack 57 Çıktı!

sundance
14 Ağustos 2001, 1 dakika okuma süresi

Cyber (ve Cyber öncesi) Hack Phreak ortamlarının en sağlam dergisi PHRACK`in 57`inci sayısı çıktı.

Yaklaşık 15 yıldır yayında olan PHRACK ilk sayısını 17 Kasım 1985`te çıkartmıştı. Zamanında 2400Bps BBS`ler ve uzun dalga radyo BBS arşivlerinin vazgeçilmez parçalarını oluşturan PHRACK sayıları, hala eski tadını korumakta. Biraz olsun neler dönüyor bu kapalı kutuların içinde merak ediyorsanız, kesinlikle kaçırmayın...

Fazlamesai bir zavallıyı takdim eder...

sundance
24 Nisan 2003, 2 dakika okuma süresi

Bugün irc.freenode'daki #fazlamesai kanalında arkadaşlarla sohbet ederken, kanalın müdavimlerinden Xybernaut'un nickine benzeyen nickli biri bana özelden mesaj attı, bu ve ardından gelişen zavallı muhabbeti okumanızı isterim. Görün bakın ülkemizde social engineering ne kadar zavallı durumlarda, ne salaklar var :)


Xyber[busy]] cc varmi elinde ?

[sundance] cc ne be ?

[sundance] kredi kartı mı ?

[Xyber[busy]] kredi karti

[sundance] var nolcak ?

[Xyber[busy]] bilgileri ver az

[Xyber[busy]] cok lazim

[Xyber[busy]] neyse oderim

[sundance] :)) haaa, sen benden kaçak kredi karti numarası istedin ?

[sundance] vay çakal vay, rezil etmez miyim ben seni simdi FM camiasına :))

İstanbul´da Siber Savaş (Hacking) Yarışması!

FZ
14 Aralık 2002, 1 dakika okuma süresi

SİBER SAVAŞ OYUNLARI 2002 Başlıyor!

Sizleri, bilgisayarları korumak ya da güvenlik önlemlerini aşmak konusundaki becerilerinizi bir eğlenceye dönüştürecek "Siber Savaş Oyunları 2002"ye katılmaya davet ediyoruz.

Bilgisayar güvenliği alanındaki deneyiminizi göstermeye hazır mısınız?

19-21 Aralık 2002 tarihlerinde Istanbul Harbiye Kültür Merkezi (Askeri Müze)'de gerçekleştirilecek "VIII. Türkiye'de Internet Konferansı" (inet-tr'02) kapsamında düzenlenecek Siber Savaş Oyunları yarışmasında iki seçeneğiniz var:

Fazlamesai'ye soralım: Peki bu durumda ne yaparsınız?

sundance
5 Ocak 2006, 5 dakika okuma süresi

27 Aralık tarihinde ortaya çıkan Windows Meta File Exploit bir fenomen halini almış durumda. Windows 95'den bu yana bütün sürümlerde bulunduğu tespit edilen açık, Internet Explorer üstünden gösterilen imajlar vasıtasıyla kod çalıştırılmasını sağlıyor ve en çok Windows XP'leri etkiliyor.

Microsoft tarafından yapılan açıklamada resmi yamanın 10 Ocak'tan önce yayınlanamayacağının belirtilmesi çok ciddi endişeler uyandırıyor. Bazı uzmanlar gayri resmi bir yamayı önerirken, Mozilla Firefox kullanıldığı takdirde sözkonusu kod çalıştırılmadan önce kullanıcının onayının istendiği ve bunun geçici bir önlem olabileceği belirtiliyor.

Açık Kaynağın Yararları

Soulblighter
20 Şubat 2004, 1 dakika okuma süresi

Geçen hafta çalınan Windows 2000 kaynak kodlarını inceleyen iyi niyetli :) bir yazılımcı, IE 5 gözatıcısında açık tespit etti.

Bu açık kullanılarak, bitmap dosyası ile (ne alakaysa, klasik M$ açığı) kullanıcının bilgisayarında aşırı yüklenme meydana getirilebiliyor. Açığı bulan yazılımcı, haberi www.securitytracker.com adresinde duyurdu.