Mozilla beveiligingsupdate sloopt Firefox
Nog geen week na het uitbrengen van de vorige grote Firefox update, die in totaal een dozijn lekken verhielp, heeft Mozilla weer reparatiewerk aan de opensource browser moeten uitvoeren. Dit keer gaat het om één kwetsbaarheid van de hoogste categorie die door de vorige patch werd veroorzaakt. Een van de security fixes in Firefox 3.0.9 introduceerde een "regressie" waardoor sommige gebruikers met talloze crashes te maken kregen.
Met name gebruikers van de HTML Validator add-on waren de dupe. Tijdens de analyse van de crashes ontdekte Mozilla dat geheugencorruptie de boosdoener was, identiek aan beveiligingslekken die in het verleden al eens waren geïdentificeerd. Updaten naar Firefox 3.0.10 kan via Mozilla.com of de automatische update functie van de browser.
Toch goed dat het snel patchen.
Toch goed dat het snel patchen.
Ik draai het als gewone gebruiker, dus het updaten kan niet succesvol verlopen, tenzij ik firefox draai als admin. Maar als ik dat doe, terwijl FF al de update heeft geconstateerd (en gedownload) terwijl ik als gewone gebruiker bezig ben, blijf ik schermpjes krijgen dat er een nieuwe versie beschikbaar is. Kijk ik dan in het about venster, dan draai ik al de meest recente versie.
Snel patchen is goed, maar goed testen is vele malen beter. Zo jaag je gebruikers weg hoor, serieus.
Dit vormt tegelijk ook een major barrière voor gebruik in bedrijfsomgevingen imo. Gewone gebruikers kunnen hun versie niet upgraden, dus zou er een centraal beheerde policy moeten zijn dat de browser daar ook niet om vraagt, maar dat beheerders dat centraal (buiten werktijden) uitrollen. Of is dat er ook?
En veel patches betekend niet dat het product slechter is dan een product dat weinig gepatched hoeft te worden in tegen deel.
Ik heb liever iedere dag een patch dan een keer in de zoveel tijd ik houd liever alles zo velig mogelijk
Toch goed dat het snel patchen.
Ik draai het als gewone gebruiker, dus het updaten kan niet succesvol verlopen, tenzij ik firefox draai als admin. Maar als ik dat doe, terwijl FF al de update heeft geconstateerd (en gedownload) terwijl ik als gewone gebruiker bezig ben, blijf ik schermpjes krijgen dat er een nieuwe versie beschikbaar is. Kijk ik dan in het about venster, dan draai ik al de meest recente versie.
Snel patchen is goed, maar goed testen is vele malen beter. Zo jaag je gebruikers weg hoor, serieus.
Dit vormt tegelijk ook een major barrière voor gebruik in bedrijfsomgevingen imo. Gewone gebruikers kunnen hun versie niet upgraden, dus zou er een centraal beheerde policy moeten zijn dat de browser daar ook niet om vraagt, maar dat beheerders dat centraal (buiten werktijden) uitrollen. Of is dat er ook?
Ik zie het probleem niet met vele patches; het gaat razendsnel en je merkt er eigenlijk nauwelijks iets van. Die schermpjes bij de gewone gebruiker zijn misschien lastig maar niet onoverkomelijk. Het is nou eenmaal de consequenties van een stuk veiligheid.
Voor de NoScript-addon zijn er anders genoeg regelmatige patches...
Mozilla moet patches beter testen!
Sectrust.
Ze zouden eerst eens moeten kijken hoe goed de code daadwerkelijk is, en er een team op moeten loslaten voor ze iets uitbrengen. Als ik kijk komt Firefox ook al om de maand met een nieuwe versie, wat me erg aan
Microsoft doet denken. Dus eigenlijk is het een browser van niks.
Daarom ben ik nu overgestapt op een onbekende browser.
Nog steeds een tevreden FF gebruiker hier...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
