Firefox 2.0.0.5 için kritik uzaktan kod çalıştırma açığı

0
Yns_
Yns_
28 Temmuz 2007 , 1 dakika okuma süresi
Firefox'un yeni çıkan sürümünde ciddi bir açık bulundu, billy'nin bloğundan örnekleri görmek mümkün.

Açık, dinamik sitelerdeki link verme kodlarını da etkiliyebiliyor, regex'i iyi yazılmamış herhangi bir URL bbcode'u ile veya "A" etiketine izin veren herhangi bir sistemde rahatlıkla sömürülebiliyor.
Şu an için bildiğim kadarıyla genel bir yama yayımlanmadı, yayımlanana kadar bağlantılara tıklamadan önce dikkat etsek iyi olacak sanırım :)
Güvenlik
14
Linkedin Facebook Twitter Google plus

Görüşler

smacker
0
smacker
Bu sorunu ortadan kaldırmanın yolu 1991'de bulundu.
Yns_
0
Yns_
bu arada bugzilla'da resmi olmayan bir patch yayınlanmış durumda.
gnnaahh
0
gnnaahh
Kusura bakmayin tam geyik bir yorum yapacagim.
-ki ler bitisik daha hos!

Demekki acik kaynak kapali kaynaktan pekte ileri seviyede degilmis.
Demekki kaynak acik olunca guvenlik daha hizli saglaniyormus.
Demekki sorun ne zeka seviyesinde nede ahlaktaymis. Sorun populer olmaktaymis.

Guvenli olacaksaniz populer olmakyacaksin.

Guruh adamin uzagini yakinini bir yapar valla :P




pvc
0
pvc
Demek ki kapalı kaynak açık kaynaktan daha gerideymiş.
Demek ki kaynak kapalı olunca unoffical patch çıkarılamıyormuş.
Demek ki sorun ne iq seviyesinde nede cahillikteymiş. Sorun saçma sapan yazma hastalığıymış.

Güvenli olacaksanız açık kaynak kullanacaksınız.

Yoksa kasap önünde ciğer bekleyen kedi gibi yama beklersiniz.
anonim
0
anonim

http://secunia.com/product/12434/?task=advisories adresindeki "Unpatched 46% (6 of 13 Secunia advisories)" ibaresinden görüleceği üzere

Demek ki Firefox açık kaynağın nimetlerinden yararlanamamaktaymış.
pvc
0
pvc
Firefox'dan bahseden kim? Açık kaynak, kapalı kaynaga göre yamalanabilir özellige sahiptir diyoruz. Buda açık kaynagı diğerine göre 1 adım önde kılar.

Kodları kapalı bir programa istesen de yama çıkaramazsın ama ne oldugunu bildigin bir şeye yama yapılabilir.

Yoksa konumuz şu program o nimetlerden yararlanamıyormuş değil ki.

Böyle basit saptırmalarla çıkıyor polemikler zaten.
gnnaahh
0
gnnaahh
Sizi bir yerelere mudur yapsalar mudurseniz emekli yapsalarda biraz tatil yapsaniz.
everestk
0
everestk
Firefox 2.0.0.6 versiyonu çıktı.
Yapılan Değişiklikler :
Fixed in Firefox 2.0.0.6
MFSA 2007-27 Unescaped URIs passed to external programs
MFSA 2007-26 Privilege escalation through chrome-loaded about:blank windows
pvc
0
pvc
Açık kaynak kapalı kaynaktan daha ileri seviyededir. Bunu biliyor musan? Çünkü açık kaynak için unoffical patch'ler çıkabilir. Birileri açığı önceden farkeder ve kapatabilir. Ama kapalı kaynak sözgelimi Micisoft, o zaman sadece onların vicdanına kalırsın... Yama çıksa diye dua edip çıkınca zevke gelir, Billy amcanın gözlük camlarını yalarsın.

Açık kaynak çok daha iyidir. En azından sorunların giderilmesi için M$ ve Billy amcayı beklemek zorunda kalmıyorsun...
rao
0
rao
şu ifade dikkatinizi çekmedi mi??

These examples are launched through the Firefox browser, but require the user to have Internet Explorer 7 installed on their machine

Problem firefox da ise IE 7 ne alaka??

Bende IE 7 yok,olmayacak ta,WinXP ile gelip kurulan IE 6.0.(bilmem kaç var) ve o linklere tıklayınca gmail bana oturum aç diyor başka bir şey de olmuyor.

pvc
0
pvc
O yazıyı nereden yapıştırdınız?
rao
0
rao
eğer benim yazdığım metin ise haberde adı geçen billy nin blog undan

http://xs-sniper.com/blog/remote-command-exec-firefox-2005/

****NOTE****
diye belirtilmiş olan bölgedeki ilk cümle
Yns_
0
Yns_
Keşke Firefox geliştiricileri de senin gibi düşünseydi de, kapatmasalardı açığı..

En "geek" örnek olarak web tasarımcılarını gösterebilmek mümkün.

Zira, müşteriler firefox fanatiği ya da internet explorer düşmanı değil. Dolayısıyla bir site geliştirirken, yazdığınız her css/xhtml kodunu Internet Explorer/Firefox gibi favori tarayicilarda denemek zorundasiniz.

ve evet burada asil nokta ikisinin de yüklü olması, ve ikisinin de yüklü olduğunda bu açığın 'exploit' edilebilmesi...
rao
0
rao
sanırsam yanlış anlaşıldık, IE 7 yok sorun da yok manasında yazmadım bunun direkt olarak firefox'a mal edilmesi manasında yazmıştım.

neyse uzatmanın da bir manası yok.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Code Red 2 (Yepyeni bir worm)
conan
6 Ağustos 2001, 2 dakika okuma süresi

Evet yeni code red Agustos 4'te başgösterdi. Yapılan açıklamalara göre bu worm daha agresif ve tamamen baştan yazılmış bir worm. Bulaşma yöntemleri farklı olsa da hedef işletim sistemi aynı. Microsoft Windows 2000. (Bu sefer NT ya da 9X değil. Çünkü kullandıkları bir assembly komutu sadece windows 2000 icin geçerliymiş) Unutmadan, bu versiyon yanında bir de trojan taşıyor ;) Gelelim yeni yaramaz kurtçuğun neler yaptığına, nasıl bulaştığına.

Internet Explorer çapraz-site yönlendirme güvenlik açığı
Challenger
15 Haziran 2004, 1 dakika okuma süresi

Olympos.org' da yer alan bu habere göre Internet Explorer' da uzaktan kod çalıştırmaya imkan tanıyan bir açık ortaya çıktı. Açık Internet Explorer'ın HTTP yönlendirmelerini işleyişinde yer alıyor. Uzaktaki bir kullanıcı özel bir HTML yaratarak hedef sistemde yüklendiğinde (Local Comuter zone ayarlarında) istediği kodu çalıştırabiliyor.

İşin asıl önemli noktası açığa bir yama çıkmayışı.
Not: Yamaya yamaya daha nereye kadar?

Editörün Notu: Daha bu sabah sözde Citibank´tan bana bir e-posta geldi, şu adrese girin ve gerekli düzenlemeleri yapın aksi takdirde sisteme erişiminiz engellenecektir şeklinde. E-postayı incelediğimde fantastik bir URL kurgulamış olduklarını gördüm ve kimbilir kaç kişinin Outlook+IE ortamında buna tıklayarak zarar göreceğini düşünerek hayıflandım.

Web Servisleri Güvenliği: Evrim Geçiren Tehdit Modeli
FZ
21 Mayıs 2002, 1 dakika okuma süresi

Gene bir makaleye gönderme, bu sefer Yahoo! şirketinin baş bilimadamı Udi Manber'in IEEE Symposium Security and Privacy etkinliğinde söyledikleri...

\r \r Özetlemek gerekirse Udi Manber gelişen web servisleri ile birlikte Internet üzerinden gerçekleştirilen güvenlik ihlallerinin de farklılaştığını, küçük küçük ama çok sayıda gerçekleştirilen saldırıların esas problemi oluşturduğunu ve bunlara çözüm bulunması gerektiğini söylüyor.

\r \r Manber'in dikkat çektiği enteresan konulardan biri de puanlama (rating) sistemleri, diyor ki "eğer bir oyun, bir site ya da bir ürünü puanlıyorsanız, insanlar bu puanlama mekanizmasına gizlice müdahele edip belli bir maddeyi en yüksek puana çıkarmak için çılgınca çaba harcıyorlar!"

Hotmail ve Yahoomail virus tehdidi altında
conan
2 Haziran 2001, 1 dakika okuma süresi

Web tabanlı email servislerinde yeni saptanan bir açık Melissa tipi virüslerin yayılmasına neden olabiliyor.
Açık kısaca şöyle tanımlanıyor. Kötü niyetli kullanıcı emailinin içerisinde web tabanlı servisin serverının bir linkini yerleştiriyor. Bu linkin ucunda ise kişinin inbox'ını gezebilecek ve de bu inbox'da gördüğü her email'e kötü niyetli bir kod yollayabilecek bir Javascript var.

Yeni virus LoveGate´e dikkat
sametc
25 Şubat 2003, 1 dakika okuma süresi

Bilgisayar güvenliği uzmanları, Asya ve Avrupa'da yayılmaya başlayan LoveGate adlı "worm (solucan)" türü bir bilgisayar virüsü konusunda uyardı. Tam adı LoveGate.c olan virüs, e-mail yoluyla bulaştığı sistemde bir arka kapı açarak bilgisayarda kayıtlı herşeyin güvenliğini tehlikeye atıyor.
Virüs bulaşır bulaşırmaz Pekin'deki iki e-mail adresine mesaj gönderiyor. Virüs yazarının sistemle bağlantı kurmasını sağlayan LoveGate, yazarın başkasının bilgisayarında istediği herşeyi (dosyaları silmek, kişisel bilgileri çalmak, ya da bazı uygulamaları çalıştırmak vs.) yapabilmesine neden oluyor.
E-mail'e eklenmiş LoveGate taşıyan dosyaya tıklandığında, virüs kendi kendini kopyalayarak adres defterindeki isimlere gönderebiliyor.
Anti-virüs şirketi Trend Micro yetkilileri, yayılma hızı yavaşlayan LoveGate'in dünya genelinde 10 bin bilgisayarı etkilediğini tahmin ediyor.
Kaynak:Hürriyetim