Ernstig zero-day lek in Mozilla Firefox
Een Russische beveiligingsonderzoeker heeft een ernstig beveiligingslek in Mozilla Firefox ontdekt, waar nog geen patch voor is en waardoor aanvallers kwetsbare systemen volledig kunnen overnemen. Het probleem wordt door een nog onbekende fout veroorzaakt en laat een aanvaller willekeurige code uitvoeren. De kwetsbaarheid is aanwezig in Firefox 3.6 en is getest op Windows XP en Vista, maar ook andere versies van de browser zouden mogelijk kwetsbaar zijn.
"De mensen die de Firefox exploit hebben gezien zijn het met me eens dat het een echt coole bug is", aldus onderzoeker Evgeny Legerov. Het vinden van het lek en maken van de exploit noemt hij een "interessante uitdaging". Mozilla laat weten dat het de kwetsbaarheid en exploit nog niet heeft kunnen verifiëren, maar dat het alle bugmeldingen serieus neemt. Het Deense Secunia adviseert Firefox-gebruikers om voorlopig geen onbetrouwbare websites of links te openen.
sandbox -t sandbox_web_t firefox
Dacht het niet dus...
Maar lig er niet wakker van deze bug,er worden toch iedere dag wel lekken ondekt,omdat geen enkel sysysteem waterdicht is.
Dat wordt toch nooit gered om alles 100% te dichten.
Als er een patch komt voor dit lek,dan is er allang weer een ander lek ondekt.
er voor deze release wel nog geen datum bekent.
Zie: https://wiki.mozilla.org/Releases
Ik hoop dat ze deze nieuwe fout in Firefox ook mee nemen
in deze release.
kom maar op met die digitale viezigheid
sandbox -t sandbox_web_t firefox
Kan iemand hier iets meer uitleg over geven? Ik heb praktisch geen ervaring met SELinux.
Thx
De vinder heeft het over een interessante uitdaging om te vinden. De makers van malware zijn volgens mij juist lui. De kans dat FF sneller een oplossing vind dan de malware makers het lek is dus groter
http://news.netcraft.com/archives/2004/08/06/phishing_attacks_using_banner_ads_to_spread_malware.html
Alle websites dus.. xD
Overigens lijkt dit niet echt op 'responsible disclosure', het was wel zo netjes geweest als de vinder van de bug Mozilla de mogelijkheid had gegeven een bugfix te maken voordat ie z'n ontdekking bekend maakte.
Overigens lijkt dit niet echt op 'responsible disclosure', het was wel zo netjes geweest als de vinder van de bug Mozilla de mogelijkheid had gegeven een bugfix te maken voordat ie z'n ontdekking bekend maakte.
Ze zijn niet in staat iets te verifieren: ze horen niets anders dan iemand die schreeuwt "ik heb een 0-day! al m'n vrienden vinden 'm vet koel!".
Anderzijds, kunnen ze ook niet doen alsof er niets aan de hand is -- immers, niets is zeker, dus vandaar de lamme waarschuwing geen onbetrouwbare sites te bezoeken. (Sidenote: Wat is betrouwbaar? Dat weet je als consument helemaal niet, ondanks het feit dat de meeste online systemen gesloten zijn, kan de DBA altijd bij alle data.....)
Voorlopig is het alleen nog maar een "gerucht"...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
