Firefox 2.0.0.5 için kritik uzaktan kod çalıştırma açığı

0
Yns_
Yns_
28 Temmuz 2007 , 1 dakika okuma süresi
Firefox'un yeni çıkan sürümünde ciddi bir açık bulundu, billy'nin bloğundan örnekleri görmek mümkün.

Açık, dinamik sitelerdeki link verme kodlarını da etkiliyebiliyor, regex'i iyi yazılmamış herhangi bir URL bbcode'u ile veya "A" etiketine izin veren herhangi bir sistemde rahatlıkla sömürülebiliyor.
Şu an için bildiğim kadarıyla genel bir yama yayımlanmadı, yayımlanana kadar bağlantılara tıklamadan önce dikkat etsek iyi olacak sanırım :)
Güvenlik
14
Linkedin Facebook Twitter Google plus

Görüşler

smacker
0
smacker
Bu sorunu ortadan kaldırmanın yolu 1991'de bulundu.
Yns_
0
Yns_
bu arada bugzilla'da resmi olmayan bir patch yayınlanmış durumda.
gnnaahh
0
gnnaahh
Kusura bakmayin tam geyik bir yorum yapacagim.
-ki ler bitisik daha hos!

Demekki acik kaynak kapali kaynaktan pekte ileri seviyede degilmis.
Demekki kaynak acik olunca guvenlik daha hizli saglaniyormus.
Demekki sorun ne zeka seviyesinde nede ahlaktaymis. Sorun populer olmaktaymis.

Guvenli olacaksaniz populer olmakyacaksin.

Guruh adamin uzagini yakinini bir yapar valla :P




pvc
0
pvc
Demek ki kapalı kaynak açık kaynaktan daha gerideymiş.
Demek ki kaynak kapalı olunca unoffical patch çıkarılamıyormuş.
Demek ki sorun ne iq seviyesinde nede cahillikteymiş. Sorun saçma sapan yazma hastalığıymış.

Güvenli olacaksanız açık kaynak kullanacaksınız.

Yoksa kasap önünde ciğer bekleyen kedi gibi yama beklersiniz.
anonim
0
anonim

http://secunia.com/product/12434/?task=advisories adresindeki "Unpatched 46% (6 of 13 Secunia advisories)" ibaresinden görüleceği üzere

Demek ki Firefox açık kaynağın nimetlerinden yararlanamamaktaymış.
pvc
0
pvc
Firefox'dan bahseden kim? Açık kaynak, kapalı kaynaga göre yamalanabilir özellige sahiptir diyoruz. Buda açık kaynagı diğerine göre 1 adım önde kılar.

Kodları kapalı bir programa istesen de yama çıkaramazsın ama ne oldugunu bildigin bir şeye yama yapılabilir.

Yoksa konumuz şu program o nimetlerden yararlanamıyormuş değil ki.

Böyle basit saptırmalarla çıkıyor polemikler zaten.
gnnaahh
0
gnnaahh
Sizi bir yerelere mudur yapsalar mudurseniz emekli yapsalarda biraz tatil yapsaniz.
everestk
0
everestk
Firefox 2.0.0.6 versiyonu çıktı.
Yapılan Değişiklikler :
Fixed in Firefox 2.0.0.6
MFSA 2007-27 Unescaped URIs passed to external programs
MFSA 2007-26 Privilege escalation through chrome-loaded about:blank windows
pvc
0
pvc
Açık kaynak kapalı kaynaktan daha ileri seviyededir. Bunu biliyor musan? Çünkü açık kaynak için unoffical patch'ler çıkabilir. Birileri açığı önceden farkeder ve kapatabilir. Ama kapalı kaynak sözgelimi Micisoft, o zaman sadece onların vicdanına kalırsın... Yama çıksa diye dua edip çıkınca zevke gelir, Billy amcanın gözlük camlarını yalarsın.

Açık kaynak çok daha iyidir. En azından sorunların giderilmesi için M$ ve Billy amcayı beklemek zorunda kalmıyorsun...
rao
0
rao
şu ifade dikkatinizi çekmedi mi??

These examples are launched through the Firefox browser, but require the user to have Internet Explorer 7 installed on their machine

Problem firefox da ise IE 7 ne alaka??

Bende IE 7 yok,olmayacak ta,WinXP ile gelip kurulan IE 6.0.(bilmem kaç var) ve o linklere tıklayınca gmail bana oturum aç diyor başka bir şey de olmuyor.

pvc
0
pvc
O yazıyı nereden yapıştırdınız?
rao
0
rao
eğer benim yazdığım metin ise haberde adı geçen billy nin blog undan

http://xs-sniper.com/blog/remote-command-exec-firefox-2005/

****NOTE****
diye belirtilmiş olan bölgedeki ilk cümle
Yns_
0
Yns_
Keşke Firefox geliştiricileri de senin gibi düşünseydi de, kapatmasalardı açığı..

En "geek" örnek olarak web tasarımcılarını gösterebilmek mümkün.

Zira, müşteriler firefox fanatiği ya da internet explorer düşmanı değil. Dolayısıyla bir site geliştirirken, yazdığınız her css/xhtml kodunu Internet Explorer/Firefox gibi favori tarayicilarda denemek zorundasiniz.

ve evet burada asil nokta ikisinin de yüklü olması, ve ikisinin de yüklü olduğunda bu açığın 'exploit' edilebilmesi...
rao
0
rao
sanırsam yanlış anlaşıldık, IE 7 yok sorun da yok manasında yazmadım bunun direkt olarak firefox'a mal edilmesi manasında yazmıştım.

neyse uzatmanın da bir manası yok.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Big Brother Is Watching You
metalyric
10 Ekim 2005, 4 dakika okuma süresi

Uyarı: Aşağıdaki haberin yazarı, daha sonra "haberdeki bilgisayara el konulduğunun gözünden kaçtığını" belirterek haberin geri çekilmesini talep etmiştir. Malesef bu habere yorum yapan okurlarımıza olan sorumluluğumuz yüzünden böyle bir şey yapamıyoruz. Lütfen haberi bunun bilinciyle okuyun.

Tehdit ve Cesaret
FZ
29 Ekim 2001, 1 dakika okuma süresi

Mine G. Kırıkkanat'ın 27 Ekim 2001 tarihli (Cumartesi) yazısından alıntıdır (yorumsuz):

... Suç duyurusunda bulunduğumuz ölüm tehditlerinden biri, İBDA-C imzalıydı ve İhlas Holding kuruluşu ihlas.net.tr'nin bir abonesinden geldiği tespit edildi. Adam bulundu, sorgulandı ve önce DGM, halen İstanbul 11. Asliye Ceza Mahkemesi'nde yargılanıyor. Ancak başından beri suçu reddediyor ve kişisel Internet şifresini ihlas.net.tr'den edinen başka birisinin onun adresiyle tehdit göndermiş olması ihtimali var.

SHA-1 Kırıldı!
tongucyumruk
24 Ocak 2007, 1 dakika okuma süresi

Elektronik bankacılık uygulamalarından dijital imzaya, kablosuz ağ güvenliğinden binlerce web sitesinin kullanıcı veritabanlarına kadar güvenliğe ihtiyaç duyulan birçok noktada kullanılan ve günümüze kadar başta ABD olmak üzere birçok ülke tarafından "resmi" harmanlama (hashing) algoritması olarak kullanılan SHA-1 Çinli bir bir bilim insanı ve ekibi tarafından kırıldı.

ADSL Modem Öntanımlı Parola Zayıflığı
extacy
21 Mart 2004, 2 dakika okuma süresi

Bu açık başka ülkelerde var mıdır bilmem ama bizim ülkemiz insanlarında %80 oranında geçerlidir :(

Bunun nedeni bilgisizlik midir, vurdum duymazlık mıdır bilmem ama... sonuçları çok kötü olabilir. Malum güzel ülkemin her yanı ADSL ile yeni yeni tanışmaya başladı fakat beraberinde yeni bir sorun getirdi. Lafı kisa tutup soruna geçmek istiyorum.

Microsoft Baseline Security Analyzer 1.0
FZ
11 Nisan 2002, 1 dakika okuma süresi

Bilindiği üzere Microsoft pek çok büyük yazılımının güvenlikle ilgili durumunu elden geçiriyor ve bu işi bir süreliğine yeni yazılım çıkarmama kararı alacak kadar abartmış durumda.
Şirketin bu bağlamda ortaya koyduğu ürünlerden biri olarak ele alınabilecek bu güvenlik analiz yazılımı - Microsoft Baseline Security Analyzer 1.0 sisteminizi işletim sistemi, servisler, şifreler, web sunucu (IIS), veritabanı (SQL Server), tarayıcı (explorer) ve MS Office ile ilgili olarak test ediyor, olası güvenlik açıklarını ve bunlarla ilgili çözümleri listeliyor.