De 8 miljoen mensen die gisteren Firefox 3 hebben gedownload lopen het risico dat een hacker hun PC overneemt als ze de verkeerde website bezoeken. Een anonieme beveiligingsonderzoeker ontdekte een "remote code execution" kwetsbaarheid waardoor een aanvaller willekeurige code kan uitvoeren door het openen van een geprepareerde website. Het lek werd 5 uur na het verschijnen van Mozilla's browser verkocht aan Tippingpoint's Zero Day Iniative.
Via dit programma kunnen onderzoekers op verantwoorde wijze lekken melden en houden ze er ook een zakcentje aan over. Het is zeer waarschijnlijk dat de onderzoeker het lek al eerder had gevonden en bewaarde tot na de lancering van de browser. Mozilla werkt inmiddels aan een oplossing en TippingPoint geeft tot het verschijnen hiervan geen details over de kwetsbaarheid weg.
MVP Ron Schenone denkt niet dat het lek een effect op de recordpoging van Mozilla zal hebben. Toch is het spijtig dat het lek niet voor de release is gevonden. "Niemand is perfect en de mensen bij Mozilla zijn ook maar mensen. Het is interessant om te zien hoe snel dit kan worden opgelost."
Betere browser dankzij beveiligingslekken
"Bij Mozilla waarderen we het melden van beveiligingsproblemen, omdat het de browser sterker en veiliger maakt. De beste manier om Firefox-gebruikers veilig te houden is door problemen direct aan Mozilla te melden, zoals TippingPoint heeft gedaan, en details pas bekend te maken totdat een patch beschikbaar is," zegt Mozilla's beveiligingschef Window Snyder.
Bij TippingPoint zijn ze op hun beurt weer over Mozilla te spreken. "Mozilla heeft een goede geschiedenis als het gaat om het oplossen van beveiligingsproblemen en we verwachten dat ze dit probleem ook spoedig zullen oplossen." Voor zover bekend is er geen exploitcode online beschikbaar. Wie toch bang is voor drive-by aanvallen wordt geadviseerd een andere browser te kiezen.
Deze posting is gelocked. Reageren is niet meer mogelijk.