El día de ayer nos dejó nada menos que 11 vulnerabilidades en Mozilla Firefox. Lo peor de todo, que 6 de ellas han sido catalogadas como de carácter crítico, motivo por el cuál seguramente ya contéis con el chivato en la aplicación de actualizaciones diciendo que tenéis la versión 3.5.4 disponible para ser instalada. Digamos que ayer la Fundación Mozilla vivió su particular patch wednesday...
No lo dejéis para más tarde en caso de que sigáis con una versión anterior: se debe actualizar este navegador a su última versión disponible ya.
¿Y por qué tanta gravedad? Las vulnerabilidades críticas reportadas van desde desbordamientos de búfer en heap (MFSA 2009-56 y MFSA 2009-59), escalado de privilegios (MFSA 2009-57), problemas en la liberación de recursos al realizar llamadas recursivas de web-workers (MFSA 2009-54), así como fallos en librerias relacionadas con elementos multimedia (MFSA 2009-63), etc.
Pero de todo este abanico de vulnerabilidades, las que más me llaman la atención son la 2009-52, 2009-61 y 2009-62:
- MFSA 2009-52 - Posibilidad de robar el historial de formularios mediante eventos relacionados con el ratón y el teclado. Una pena que de momento no sepamos más información o una demostración, más que la reflejada en el aviso de seguridad.
- MFSA 2009-61 - Mediante la llamada document.getSelection() ha sido posible obtener un texto seleccionado desde otro dominio.
- MFSA 2009-62 - Falseado de un nombre de fichero descargado al no tratar correctamente carácteres RTL. Gracias a esta vulnerabilidad, un usuario podría esconder el nombre y extensión verdaderas de un fichero que pusiese en un sitio web para descargar, al no mostrar correctamente los nombres en los cuadros de diálogo de descarga. En este enlace de Bugzilla se puede ver el primer reporte de esta vulnerabilidad, así como más detalles.
Aunque las anteriores tres vulnerabilidades no se hayan clasificado como críticas por varios motivos (sobretodo por la necesidad de la interacción por parte de la víctima), a mi personalmente me parece que son las que más juego podrían dar.
Recordad que también podéis descargaros la aplicación FFHardener para bastionar vuestros Firefox desde la página de proyectos de sBD, así como seguir los consejos de nuestro post anterior Profiláctico para navegadores.
Con todo esto, el zorro favorito de muchos dormirá tranquilo...
Fuente: http://www.securitybydefault.com/
Ingeniero, me gusta la cyberseguridad, la programación y el blockchain.
0 Notaciones:
Publicar un comentario