FireFox: Two Extremely Critical Vulnerabilities

[Nightingale]

Due falle ad alto potenziale sono state rilevate nel browser Firefox, l'exploit è già in Rete, ma non v'è notizia di patch o soluzione alcuna. Per l'utente occorre disabilitare l'uso di JavaScript o passare a browser alternativi.

Sponsor


«Extremely critical» è un giudizio che Secunia usa con molta parsimonia, ma è il giudizio usato per descrivere le due falle scoperte nel weekend nel browser Mozilla Firefox (SA15292). In particolare sarebbe già stato pubblicato un exploit in grado di colpire le due vulnerabilità, mentre al momento non v'è notizia di aggiornamenti o patch in distribuzione per risolvere l'impellente problema.

La prima falla è relativa al comando IFRAME e permette l'esecuzione di codice da remoto. La seconda falla apre invece il sistema ad un attacco da Javascript tramite semplice url appositamente composto. La combinazione delle due falle identifica l'alta pericolosità potenziale di un attacco al sistema (il cui codice è liberamente disponibile e tale da poter eventualmente dare il via ad un potenziale attacco virulento). Unico fattore mitigante è il fatto che l'exploit deve passare per uno dei siti autorizzati ad avviare installazioni ("update.mozilla.org" e "addons.mozilla.org"): una volta tutelati i due siti da eventuali incursioni di malintenzionati, il problema è parzialmente limitato.

Nell'attesa che i tecnici Mozilla Foundation riescano a porre una pezza al problema che affligge gli oltre 50 milioni di Firefox già scaricati, all'utente della volpe (ivi compresa l'ultima versione 1.0.3) si consiglia di disabilitare l'uso di JavaScript. Il nuovo rilevante problema emerso nel principale rivale di Internet Explorer sembra confermare le tesi secondo cui solo con l'avvento della popolarità e dei grandi numeri sarebbero arrivati per Mozilla i primi seri problemi di sicurezza caratterizzati dalla possibile redditività di un attacco a tali sistemi vulnerabili. Finora il gruppo Mozilla ha sempre reagito con buona tempistica, e la nuova occasione caratterizzata dalle due vulnerabilità rappresenta una nuova sfida in tal senso.

Le alternative plausibili rimangono Internet Explorer (più e più volte, però, afflitto da problemi simili), o il nuovo Opera 8 (giunto ad oltre 2 milioni di download in pochi giorni).

http://secunia.com/advisories/15292/