Firefox 2.0.0.5 e i primi problemi di sicurezza

Firefox 2.0.0.5 e i primi problemi di sicurezza

A pochi giorni dal rilascio di Firefox 2.0.0.5 vengono segnalati nuovi problemi di sicurezza

di pubblicata il , alle 08:39 nel canale Programmi
FirefoxMozilla
 
I migliori sconti su Amazon oggi
99 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
Cimmo25 Luglio 2007, 16:05 #61
Originariamente inviato da: magicpn
NEIN! Qui invece non sono d'accordo...

E' la struttura che fa sicuro il software.. un programmatore può al massimo sbagliare ad allocare della memoria, ma sono errori banali... un programmatore non stabilisce le regole di sicurezza del software... Credi che sia lasciato nelle mani di un programmatore l'onere di decidere quale approccio programmativo usare?

Qui non si parla di allocazioni sbagliate ma di chiamate a funzioni sbagliate.... questa è progettazione e si riperquote direttamente sulla sicurezza. Il problema è che nel mondo di internet i browser sono costretti ad appoggiarsi su framework che aggiornandosi cambiano continuamente le proprie funzionalità non garantendo neanche la retrocompatibilità.... basti pensare a quella trashata del java framework.... la roba scritta per 1.4 non girava per 1.5... oppure roba per una versione restituisce risultati diversi con altre versioni..... daiiii.. che trash!

calma, te generalizzi un po' troppo.
Ci sono problemi legati alla progettazione ok, ma anche miliardi di modi che il programmatore puo' introdurre bug di sicurezza.

Basta una variabile incrementata dove non c'e' il controllo di fine incremento e gia' e' un bug di sicurezza.
Senza andare a scomodare allocazione della memoria o altre cose.

Altro esempio: basta non controllare gli input dell'utente che vanno a finire direttamente in una query sql e gia' hai la possibilita' di sql injections.

Mi sembra che qui molti parlano di sicurezza, ma ben pochi siano preparati a farlo.
blackshard25 Luglio 2007, 16:14 #62
Originariamente inviato da: Cimmo
calma, te generalizzi un po' troppo.
Ci sono problemi legati alla progettazione ok, ma anche miliardi di modi che il programmatore puo' introdurre bug di sicurezza.

Basta una variabile incrementata dove non c'e' il controllo di fine incremento e gia' e' un bug di sicurezza.
Senza andare a scomodare allocazione della memoria o altre cose.

Altro esempio: basta non controllare gli input dell'utente che vanno a finire direttamente in una query sql e gia' hai la possibilita' di sql injections.

Mi sembra che qui molti parlano di sicurezza, ma ben pochi siano preparati a farlo.


Non posso che essere d'accordo, di nuovo. E dubito sempre che in fase di progettazione si possano risolvere i problemi di sicurezza introdotti nella fase implementativa. Al massimo durante la progettazione c'è una risoluzione di macro-problemi legati alla sicurezza, ma le falle del tipo di cui stiamo discutendo sono indubbiamente introdotte durante la programmazione.
Micene.125 Luglio 2007, 16:20 #63
con firefox 1.512 la pagina nn riesce a vedermi la pass...mi esce tua pass: tuo nick: ma senza il nick/pass...quindi è una falla solo di ff2?
vampirodolce125 Luglio 2007, 16:36 #64
Originariamente inviato da: Micene.1
con firefox 1.512 la pagina nn riesce a vedermi la pass...mi esce tua pass: tuo nick: ma senza il nick/pass...quindi è una falla solo di ff2?
Stessa cosa succede a me con FF 1.5.0.5.
BevX25 Luglio 2007, 22:03 #65
Mi sembra che ad alcuni siano sfuggite un paio di righe proprio sulla pagina del proof of concept...

"There has been some discussion, if this really is a vulnerability in Firefox. Because if an attacker can place script code on a server, he has other means to steal passwords."

Traduco sommariamente per chi non sa l'inglese (spero nessuno su un sito di questo tipo)

"Si è discusso se questa è veramente una vulnerabilità di Firefox. Perchè se un malintenzionato può piazzare del codice di scripting su un server, ha degli altri modi per rubare password".

Da quel che ho capito io, per sfruttare questa falla, il codice javascript "maligno" deve provenire dallo stesso server(o dominio?) che ospita il sito fidato. Quindi per rubarmi ad esempio la password di paypal, dovrebbero piazzare il javascript nel dominio paypal. Voglio proprio vedere a quanti servirà sta cosa... mò cerco su secunia per vedere come valuta la vulnerabilità...
paolo_paul25 Luglio 2007, 23:22 #66
Ciao,

quoto tutti quelli che dicono: "più un software è diffuso più le falle saltano fuori". Credo che sia una verità assoluta. Credo anche che sia un fatto positivo (non le falle :P).

blackshard25 Luglio 2007, 23:52 #67
Originariamente inviato da: paolo_paul
Ciao,

quoto tutti quelli che dicono: "più un software è diffuso più le falle saltano fuori". Credo che sia una verità assoluta. Credo anche che sia un fatto positivo (non le falle :P).


Più che una verità assoluta (che suona sempre un po' come una forzatura, no?), possiamo dire che è un dato di fatto ben assodato. Chi sostiene l'opposto capisce zero di sicurezza informatica, e anche questo è ben assodato
mad_hhatter25 Luglio 2007, 23:56 #68
Originariamente inviato da: BevX
Mi sembra che ad alcuni siano sfuggite un paio di righe proprio sulla pagina del proof of concept...

"There has been some discussion, if this really is a vulnerability in Firefox. Because if an attacker can place script code on a server, he has other means to steal passwords."

Traduco sommariamente per chi non sa l'inglese (spero nessuno su un sito di questo tipo)

"Si è discusso se questa è veramente una vulnerabilità di Firefox. Perchè se un malintenzionato può piazzare del codice di scripting su un server, ha degli altri modi per rubare password".

Da quel che ho capito io, per sfruttare questa falla, il codice javascript "maligno" deve provenire dallo stesso server(o dominio?) che ospita il sito fidato. Quindi per rubarmi ad esempio la password di paypal, dovrebbero piazzare il javascript nel dominio paypal. Voglio proprio vedere a quanti servirà sta cosa... mò cerco su secunia per vedere come valuta la vulnerabilità...


ma infatti pochi mesi fa si discuteva di una cosa pressoche' identica... ricordo di aver letto la discussione sul sito Mozilla... in pratica tutto nasce dal fatto che viene controllato solo il dominio della pagina richiedente la password, ma non si controlla dove viene spedita la pass stessa... era cosi'? se (sottolineo il se, perche' non ho approfondito la cosa) la vulnerabilita' attuale prevede che la pass venga prima inviata allo stesso dominio e poi reindirizzata allora in effetti non so quanto si possa parlare di vulnerabilita'... pero' aspetto che qualcuno chiarisca meglio i dettagli prima di avanzare ipotesi
Zorky26 Luglio 2007, 00:15 #69
Ho fatto il test alla pagina indicata. Ho FF 2.0.0.5 e non riesce a rubarmi ne username, ne password.
Sarà forse perchè uso l'extension NoScript che viene aggiornata quasi ogni settimana. Mica come IE che resta buggato in eterno.
Zorky26 Luglio 2007, 00:17 #70
Ho appena letto che con NoScript l'attacco non funziona, ma NoScript su Firefox lo hanno TUTTI e dico TUTTI.
« Pagina Precedente     Pagina Successiva »

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^