Kritikus biztonsági hibáknak mondott búcsút a Firefox

A Biztonságportálon tegnap számoltunk be arról, hogy a Google számos sérülékenységet szüntetett meg a Chrome böngészőben. Nem sokkal később a Mozilla is kiadta a legfrissebb biztonsági közleményeit, amelyek meglehetősen komoly kockázatot jelentő sebezhetőségekről adnak tájékoztatást. A Mozilla összesen tizenegy hibáról számolt be, amelyek közül kilencet kritikus veszélyességűnek ítélt meg. Ez egyben azt is jelenti, hogy e sérülékenységek kihasználásával a támadóknak távoli kódfuttatásra nyílhat lehetőségük, és bizonyos körülmények között a vírusterjesztők is felhasználhatják e biztonsági réseket a saját céljaik elérésére.

Befoltozott biztonsági rések

A most megszüntetésre került sérülékenységek többek között a böngésző motorjában, a JavaScript kezelésben és a JPEG formátumú képek megjelenítésében található hibákra vezethetők vissza. A többségük speciálisan szerkesztett weboldalakkal válhat kihasználhatóvá, akár úgy is, hogy abból a felhasználó semmit sem vesz észre.

A Mozilla külön kiemelt egy CSRF (cross-site forgery request) alapú támadásokra lehetőséget adó biztonsági rést, amelyet az Adobe egyik kutatója fedezett fel. E sérülékenység legfontosabb jellemzője, hogy korábban nemcsak a Firefox esetében volt jelen, hanem a Safari valamint a Chrome böngészőket is érintette. Elsősorban akkor jelentett kockázatot, amikor a felhasználó kártékony Flash állományt töltött le, illetve tekintett meg.

A Firefox legújabb 3.6.14-es valamint 3.5.17-es verziói már nem tartalmazzák a fenti sebezhetőségeket. A böngésző e kiadásai a Mozilla weboldalairól tölthetők le, vagy az alkalmazás frissítési funkciójának segítségével telepíthetők. Fontos megjegyezni, hogy a sebezhetőségek egy része a Thunderbird valamint a SeaMonkey szoftvereket is érinti, így e programok frissítésére is célszerű minél hamarabb sort keríteni.

Frissítések a hekkerverseny előtt

Sem a Google, sem a Mozilla nem erősítette meg azokat a híreket, miszerint a mostani böngészőfrissítéseket azért tették meglehetősen gyorsan elérhetővé, mert a szoftvereik a március 9-én kezdődő Pwn2Own hekkerversenyen egy jelentős megmérettetés elé néznek, és állniuk kell a sarat a versenyzők össztűzében. Mindenesetre az már tavaly is megfigyelhető volt, hogy a Pwn2Own előtt a fejlesztők szorgalmasan adták ki a frissítéseiket, ami idén sincs másként.