Mozilla ha rilasciato Firefox 2.0.0.10, nuovo aggiornamento di sicurezza per il suo popolare browser open-source che introduce tre fix per una serie di vulnerabilità “importanti” isolate nelle precedenti versioni del prodotto. Come di consueto Firefox 2.0.0.10 sta venendo distribuito in queste ore tramite il sistema di software update integrato nel browser, ma può essere scaricato anche manualmente sul sito ufficiale del prodotto (getfirefox.com), in tutte le localizzazioni per Windows, Mac e Linux.

Tra i problemi di sicurezza corretti in Firefox 2.0.0.10 si evidenzia una falla di Cross-site Request Forgery (CSRF) causata da un errore nella gestione di JavaScript inizializzato da modifiche dei contenuti delle finestra (window.location), e la falla nella gestione del protocollo “jar:”, di cui abbiamo parlato in una news precedente, anch’essa legata a possibili pericolosi attacchi XSS. Mozilla ha inoltre corretto una serie di vulnerabilità che portavano alla corruzione della memoria ed instabilità del software.

MFSA 2007-39 Referer-spoofing via window.location race condition
MFSA 2007-38 Memory corruption vulnerabilities (rv:1.8.1.10)
MFSA 2007-37 jar: URI scheme XSS hazard

Per quanto riguarda il fix per la falla “JAR URI scheme XSS hazard” (CVE-2007-5947), Mozilla spiega nell’advisory dedicato: “Il supporto per lo schema jar: URI è stato ristretto ai file serviti con un header Content-Type di application/java-archive o application/x-jar. Le applicazioni web che richiedono pagine firmate devono assicurarsi che i propri archivi .jar siano serviti con questo Content-Type. I siti che permettono l’upload di file binari dovrebbero assicurarsi di non permettere a questi file di avere uno di questi 2 tipi MIME”.

Ricordiamo che una settimana fa in rete era stato pubblicato un proof-of-concept che dimostrava come rubare la lista contatti di Google Gmail agli utenti che avevano eseguito l’accesso al popolare servizio di webmail.

links e news Falla JAR: per Firefox, XSS su Gmail

Dall’advisory dedicato alla falla “Referer-spoofing via window.location race condition” (CVE-2007-5960): “Quando si verifica una navigazione tramite l’impostazione di window.location l’header Referer dovrebbe riflettere l’indirizzo del contenuto che viene inizializzato dallo script. Al contrario il Referer veniva impostato all’indirizzo della finestra (o frame) nel quale veniva eseguito lo script, e questa vulnerabilità era generata da questa piccola differenza. Sfruttando una finestra di dialogo modale alert() Fleischer [Gregory Fleischer, il ricercatore che aveva segnalato originariamente il problema di sicurezza] era capace di sospendere lo script di attacco in modo da non caricare l’URI target fintanto che il contenuto iniziale dell’attacker non fossee rimpiazzato da una pagina scelta di referring. Quando il Referer viene impostato all’URI corrente della finestra dello script non è più quello corretto”.

Fonte: tweakness.net

Pubblicato in Browser, Firefox, Mozilla