Si hace apenas cuatro días hablábamos de una vulnerabilidad grave en Firefox 3.5, resuelta en la versión en desarrollo, pero que tardó un par de días en solventarse en la versión estable, ahora se ha detectado otra vulnerabilidad crítica no explotable. En esta ocasión afecta a la gestión de Unicode al compilador de Javascript JIT (“just in time”), y ya hay un exploit que aprovecha el fallo.
De nuevo se trata de una vulnerabilidad que permite la ejecución de código arbitrario en la máquina afectada. No es que uno espere que tras un parche urgente, el navegador sea cien por cien seguro, pero el plazo entre ambas vulnerabilidades ha sido muy próximo, y en ambos casos de la más alta gravedad. La rama 3.5 está dando alas a todos los que empezamos a estar desencantados con Firefox.
El exploit se publicó el día 15, pero la versión actual no lo resuelve. Curiosamente, el descubridor del fallo es el mismo que el del anterior. Al parecer, la extensión NoScript no sería suficiente para blindarse ante el problema, así que por ahora toca esperar al parche. Gracias a juancarlosc por ampliar la información que teníamos.
Editado: En efecto, he malinterpretado las notas, como muchos otros, y el error parece que no es explotable, en contra de cómo se había informado en primera instancia, así que falsa alarma. He encontrado una solución temporal en el blog de desarrollo de Mozilla. Recomiendan o bien usar el navegador en modo seguro (con el parámetro -safe-mode) o bien desactivar el JIT, lo que ralentiza la ejecución de javascript. Para desactivarlo, hay que cambiar en about:config el parámetro javascript.options.jit.content a true.
Vía | Download Squad
En Genbeta | Vulnerabilidad muy crítica detectada en Firefox 3.5
Ver 30 comentarios
30 comentarios
gsardou
ehhh.. chicos, no es por nada, pero parece que algunos le tienen un ligero encono a este navegador.
Lo cierto es que por lo que dicen por alli (palabras de Mike Shaver,VP Engineering de mozilla), esta vulnerabilidad, de crítica no tiene un pimiento.
Solo produce un crash en Mac (en las versiones 3.0.x y 3.5.x) y en Windows (solo la versión 3.0.x). Repito... que no es explotable (de critico, muy critico, o requerecritico_que_te_mueres!, nada).
El link al comentario de Mike:
http://blog.mozilla.com/security/2009/07/19/milw0r...
Comentar los bugs presentes en el software libre es genial, porque ayuda a que entre todos podamos solucionarlo (al contrario que en otro tipo de software). Pero salir a gritar en circulos sin contrastar datos, genera una falsa sensación de inseguridad, que puede terminar en usuarios molestos, o incluso peor... en usuarios insensibles a las advertencias de seguridad.
Saludos!
PD: Noto cierta proliferación de un grupo de comentarios bastante resentidos y faltos de argumento... es mi imaginación?
Malqpor
Al final a resultado un fallo sacado totalmente de contexto, que han aprobechado algunos para regodearse de lo piticos que son al elegir el navegador A o B.
Fallos gordos como camiones los tienen todos los navegadores, otra cosa es el alcance que puedan tener y lo importantes que sean. Si no son explotables da bastante igual, es como si sabes que hay un agujero pero no se puede llegar.
El problema por el que IE es tan impopular es por lo que tardaban en corregirlos, y por que algunos ni siquiera están corregidos (la versión 6 de IE tiene errores míticos que hoy en día cualquiera sabe explotar). IE8 está mejor, pero tampoco es en absoluto excelente.
Saludos
Trotamundo
Lo que deberíais hacer es no emparanoyaros con tanta tontería de agujeros de seguridad. Si navegas con conocimiento no te enntraran porquerías en el ordenador; y esa es una cualidad de cualquier navegador (unos con mas protección, otros menos). Cada uno utiliza el Navegador que le place, y cada cual está satisfecho con ello.
Que nos gusta ser muy "tragedia".
Kandomble
Es cierto, no es un periódico, pero un blog va más alla de un periodico, es un creador de conocimiento y no solo de información, ya van con dos errores de lo mismo leo genbeta desde el 2006 y he leido cada post que han publicado varias veces, lo poco que se de sistemas lo aprendí acá, la verdad, no solo me parece un error imperdonable, sino que con una mera corrección en un post, que ya es viejo (por que un post del día anterior ya es antiguo y punto) no es suficiente, deberia haber un post completo avisando del error en el que incurrieron las razones y no simples comentarios en el post que en un rss no los veo... es lamenteble que por el afan de una noticia y para tener contentos a algunos que quieren hablar mal de firefox hagan esto...
espero que no vuelva a suceder, por que eso solo auyenta a sus usuarios y genera desconfianza... y aún más lamentable que tan buen equipo como eran, se vea opacado por usuarios asi, hay miles de personas de usuarios como jayjayjay_92 o Mickeley que aquí ya son reconocidos y estoy seguro que no permitirian que el prestigio de este blog se dañara con post como este.
gustozo
ahora que diran los defensores de este navegador,que esta vulnerabilidad no es igual a las del explorer porque a esta la informaron rapido o se confirmo en menos dias una de otra,ja,facil,solo son seguros los navegadores como los o.s,cuando no los usan casi nadie,pero apenas pasa un porcentaje decente,ya empiezan los dramas,lo que pasa con windows o explorer,no son malos,son mas atacados porque son mas usados,tan sencillo como eso,todos son lo mismo.Queres seguridad,usa algo no tan popular
weirdo
En lo q a mi respecta creo q se presipitaron en el lanzamiento del firefox y creanme q tiene muchas fallas ademas de sus huecos de seguridad, q todo sistema lo tiene asi q no nos hagamos a los tontos, todavia me acuerdo de la cantidad de bugs del chrome al dia de su lanzamiento, el hecho es q como dije antes firefox debia haber calculao mejor su lanzamiento
hakuleen
Normal que te sientas desencantado... si de lo que siempre han hecho bandera, su seguridad frente a IE, ahora resulta que tiene este tipo de cagadas... al final todos a por Chrome.
jayjayjay_92
Joer menos mal que no es nada, antes de poner MUY GRAVE deberíais informaros más, ya lei pior el 25 que no es nada...
SilverJM
Este internet explorer es una mi.erda, a ver si los de Microsoft hacen algo bien. Ah hablamos de firefox? bueno no importa, vulnerabilidades tienen todos los programas.
felipe
Son bien como las pelotas!! antes de andar gimiendo como minas deberian informarse bien "The bug in question is not exploitable, and in fact doesn't even crash FF3.5 on Windows. See http://blog.mozilla.com/security/2009/07/19/milw0r...
Y los mamones/resentidos de safari/chrome saltan apenas tienen la oportunidad. En fin "que los perros no ladran, que no avanzamos" Así que genial, yo personalmente le doy las gracias a Chrome por hacer a Firefox aún mejor de lo que ya era, y en cuanto a safari = q windows si no fuera un navegador nativo sería una rareza.
Aparte de eso, y esto va para el editor, informarse bien antes de escribir un articulo, que una fuente no basta, sobre todo en un tema donde hay tantos intereses encontrados.
Alkar
#40: Me temo que el bug al que enlazas no es ese, sino este otro que sí es crítico. Notificado desde el día 14, pero sin parche. He puesto la solución provisional en el artículo.
Alkar
#33: Si me hubiera enterado lo habría comentado igualmente. No defiendo ningún navegador, tan sólo aviso para que la gente esté protegida.
Alkar
#38: Tienes razón, Felipe, he mezclado ambos avisos por malinterpretar las noticias de otras fuentes ajenas a Mozilla. En efecto, el bug se había notificado como explotable y muy grave. Pero desde Mozilla se desmiente que sea explotable este segundo bug, que produce un desbordamiento en la gestión de cadenas largas en Unicode.
alvaro
A este paso firefox será IE-2
@23, pensé que applesfera era el sitio para los Apple fanboys
gsardou
@Alkar:
Veo que has corregido algunos puntos de la entrada, pero por alli sigue diciendo "...se trata de una vulnerabilidad que permite la ejecución de código arbitrario en la máquina afectada..."
La vulnerabilidad (sería más bien un fallo), no es explotable, así que dificilmente puede servir para ejecutar código arbitrario (ni ningún código)... Corrígelo por favor :)
En resumen: Un fallo tonto que no afecta la seguridad del sistema, tomado de modo alarmista por los muchachos de DownloadSquad.
Como dicen por arriba, es muy importante mirar otras fuentes antes de publicar, ya que una sola fuente, por seria o creíble que sea, puede ser origen de errores o mentirillas...
Saludos!
noctuido
Lo que son las cosas:
Vulnerability affects all major browsers
lesan
Acid3 es un conjunto de pruebas DETERMINADAS y no tiene valoración oficial, ya que incluso un navegador con 0/100 podría ser compatible sin problemas a los estandar WEB.
Parece que la gente nunca lee lo que comentan los propios desarrolladores de ACID3 y se ha creado una suposición útil sobre esta prueba.
jayjayjay_92
Pero que coño les pasa? raro tener una y ahora dos seguidas? que coño es esto?internet exploiter?
Otra más y me cambio de navegador.
ccd
no soy fan de IE, pero segun tengo entendido IE, es recomendado para las transacciones comerciales y bancarios (a diferencia de por ejemplo safari) ... mas bien no uso Firefox desde la version 2 debido a su absurdo consumo de memoria, tal como uso a thunderbird como cliente de correo por su sencillez y rapidez. en navegadores, yo uso opera desde que tengo uso de memoria, no es perfecto, pero es liviano, rapido, y sobre todo versatil, no tanto como firefox, pero a su vez no tiene todo lo malo de ese browser, en codigo abierto chromiun o iceweasel son buenas opciones...
sin embargo si no se quieren despegar del motor gecko usen k-maleon para windows... es increiblemente rapido, les recordara los primeros tiempos de firefox, y segun creo nadie le conoce y no tiene muchas fallas (descubietas) ;)
pero si quieren un consejo , Opera ...
jordi.mercader
De acuerdo que esto es un blog y no un periodico ni un site de noticias pero en esta entrada, ademas del dramatismo generado, que se ha demostrado que no era para tanto, no me parece bien que se aleccione a los demas usuarios con arengas de este tipo: La rama 3.5 está dando alas a todos los que empezamos a estar desencantados con Firefox. Desde mi punto de vista, si hay espacio para corregir informaciones incorrectas y/o incompletas también debería haber espacio para retirar/matizar ciertos comentarios acerca de esas informaciones incorrectas y/o incompletas.
Y acerca de los compañeros que comentan que si Firefox vaya castaña y tal... Solo dire una cosa: codigo libre. Si precisamente se encuentra estos fallos y se reportan es porque el programa se publica como código libre, pudiendo detectar errores y pudiendo solucionarlos libremente. Decidme si esto mismo se puede hacer, en este caso, con otros navegadores de codigo privativo.
david
Programadores que trabajan para darte un producto en mi concepto muy decente... y tantos comentarios desagradables denigrando ese trabajo, definitivamente. Me gustaria ver como desarrollas tu software (si es que eres desarrollador ¿cuantas vulnerabilidades tenes o te han pillado?
Si esperaran para sacar un SO sin fallos no tendrias ni Mac ni Win ni Lin
jayjayjay_92
Totalmente de acuerdo deberíais hacer un post negando este y no una mera corrección, o acaso pensais que si me he leido ayer el artículo me lo voy a volver a leer hoy por si habeis cambiado algo?
Respecto a la vulnerabilidad si no es explotable no importa, hay que hacer las cosas bien y por lo tanto sellarla pero no es prioritario.
Kaled Kelevra
Yo también descubrí un fallo en el motor javascript de FireFox 3.5 (o 3.5.1, lo mismo me da). Y es que no funciona el script de mi blog :P
http://enbuscadelbitperdido.blogspot.com/
de todas formas... Chrome es el único con el que funciona; tampoco funciona bajo Opera, Internet Explorer ni Sarafi).
Por cierto... me refiero al script que sirve para cambiar entre los "últimos tweets perdidos"
Kaled Kelevra
Yo también descubrí un "fallo" en el motor javascript de FireFox 3.5 (o 3.5.1, lo mismo me da). Y es al ejecutar un script de mi blog :P
http://enbuscadelbitperdido.blogspot.com/
De todas formas... Chrome es el único bajo el que funciona dicho script (ni Opera, ni Internet Explorer, ni Safari lo ejecutan correctamente). Por cierto... me refiero al script para ver los "últimos tweets perdidos", arriba en el menú lateral.
Kaled Kelevra
perdón por el "doble-post", no sé qué hace esto :S
s22
Yo tengo el 3.5.1 y esta tarde me ha salido un mensaje de error, en el que me dice que hay un error y que se intente reiniciar para solucionar el problema, debajo de esa ventana me sale para mandar a los firefox los detalles del error y todo eso, de hecho a la tercera vez lo he hecho, y bueno al ver que no habia solución e desinstalado el programa por completo, menos la información guardada como contraseñas y marcadores, he vuelto a instalar y ya me ha vuelto a funcionar, esto es esa vulnerabilidad? nunca habia tenido problemas con firefox, menos mal que tengo opera por si tengo algun problema como este.
xallow
¿Y por qué no hay ningún post sobre las dos vulnerabilidades criticas de Chrome (dos, igual que Firefox)?
Claro, pero como Chrome maneja las vulnerabilidades en lo "oscurito", ya todos creen que es bien seguro (con todo y el sandbox)
http://download.cnet.com/8301-2007_4-10289789-12.h...
xallow
No era ataque xD. Sólo quería resaltar que Chrome también tiene fallas de seguridad igual de graves. La tendencia es apoyar a la minoria. Por ejemplo:
En la epoca de IE, Firefox era el pequeño rival (Opera no cuenta porque era de paga o con publicidad), los geeks lo llamaban ultraseguro, mega-rápido, etc. Firefox ahora alcanza una cuota aproximada de 25% del mercado, así que ya no es cool. Ahora hay que criticarlo, y cambiarlo por otro navegador.
Lo mismo pasa con Ubuntu. Al principio le llamaban una distribución muy fácil de usar y poderosa. Ahora es la distribución Linux más usada, así que ya no es Cool. Ahora lo mejos es encontrar la distribución más rara que exista y usarla.
Kaled Kelevra
Ah! Y yo aprovecho para comentar que finalmente conseguí resolver ese pequeño "fallo" de javascript con mi blog.
Lo hice símplemente sustituyendo la etiqueta: href="javascript:func()"
por esta otra: href="#" onclick="javascript:func()"
y con eso se solucionó el problema :S
Ahora el script funciona en los 4 navegadores; Firefox, Chrome, Opera e Internet Explorer.
Un saludo