Mozilla trekt Firefox 16 terug wegens beveiligingslek
Mozilla waarschuwt voor een beveiligingslek in Firefox 16 waardoor websites de surfgeschiedenis van gebruikers kunnen achterhalen. Firefox 16 verscheen gisteren en verhielp 24 beveiligingslekken, waarvan 21 zo ernstig dat een aanvaller het onderliggende systeem erdoor kan overnemen. Beveiligingsonderzoeker Gareth Heyes ontdekte dat het mogelijk is voor een gehackte of kwaadaardige website om te bepalen welke websites gebruikers eerder hebben bezocht.
Ook zou het mogelijk zijn om toegang tot de URL en URL-parameters te krijgen. Volgens Mozilla wordt het lek niet in het wild misbruikt, maar Heyes publiceerde wel een proof-of-concept exploit die het de kwetsbaarheid demonstreert.
Patch
Vanwege de kwetsbaarheid besloot Mozilla om Firefox 16 terug te trekken. Vandaag zou er een update voor het probleem moeten verschijnen, waarna Firefox weer is te downloaden. Als voorzorgsmaatregel adviseert Mozilla's Michael Coates om naar Firefox 15.0.1 te downgraden. Dat brengt echter ook weer risico's met zich mee, aangezien Firefox 16 juist 24 lekken in deze versie verhelpt.
En waarom adviseerd hij om down te graden naar versie 15.0.1? Want dat heeft zelfs exploit gevoeligheid waardoor malware je besmet. Ik heb liever dat een website weet waar ik naar toe ben geweest dan dat ik besmet ben met malware.
Maar wat ik me dan wel weer afvraag is het volgende: de Firefox en Chrome lekken worden door een klein aantal mensen gevonden en gemeld. Niemand kan echter garanderen dat PinkiPie en Gareth de enigen zijn die dit vinden, maar ze zijn wellicht wel de enigen die het melden.
Doordat IE zo in het nieuws is geweest, lijkt het nu nieuws te zijn en een ongelovige hype over welke browser heeft de minste lekken. Ik gok dat ze allemaal net zo lek zijn, maar dat de ene meer wordt gebruikt en daarbij dus eerder de lekken worden gevonden / gebruikt.
Mijn tip tegen een lekke browser wilt, sluit je internetverbinding af :)
Wel log ik vandaag even niet in met Firefox. Mijn history wissen bij het sluiten van de browser deed ik al. Misschien dat de 'pornknop' nog uitkomst kan bieden voor Firefox gebruikers.
Wel heel erg onverantwoordelijk om een POC te releasen net na een nieuwe release van Firefox. Dit had hij ook kunnen melden aan Mozilla en hun zo een kans kunnen geven het te fixen in de volgende release (17.0).
--> Mozilla trekt Firefox 16 terug
deze repareerd
--> 21 zo ernstig dat een aanvaller het onderliggende systeem erdoor kan overnemen
en de terugtrekking is vanwege een lek die
-> mogelijk zijn om toegang tot de URL en URL-parameters te krijgen
Het lijkt mij logischer om de eerdere versie 16 te handhaven totdat later vandaag daarvoor de update beschikbaar komt die dat ene nieuwe lek patcht.
Inderdaad heel vreemde manoeuvre van FF. Bij mij wordt FF automatisch ge-upgrade (door Ubuntu) en heb nu versie 16 geïnstalleerd staan. Als het alleen dit ene lek is, laat ik het mooi zo staan, zeker als er heel binnenkort ook een patch voor komt.
Maar door die vreemde manoeuvre vraag ik me nu wel af of dit echt alleen dit ene gat is, waarom zou je anders een versie aanbevelen waar nog veel meer gaten in zitten?
Kortom belazert FF de boel en is er meer aan de hand, of zijn ze daar hun verstand kwijtgeraakt?
En zeg nou zelf, alles browser zijn zo lek als een vergiet waarom al die versies waarom niet gewoon een goeie maken. Allemaal kwats allemaal geldklopperij. Alles draait daarom en meer niet.
Inderdaad heel vreemde manoeuvre van FF. Bij mij wordt FF automatisch ge-upgrade (door Ubuntu) en heb nu versie 16 geïnstalleerd staan. Als het alleen dit ene lek is, laat ik het mooi zo staan, zeker als er heel binnenkort ook een patch voor komt.
Namelijk ik heb zo ingesteld wanneer er een nieuwe versie beschikbaar komt deze gelijk wordt geinstalleerd uit een Mozilla security PPA:
Vreemd. Firefox 16, die 24 beveiligingslekken verhielp, waarvan 21 zo ernstig dat een aanvaller het onderliggende systeem erdoor kan overnemen, wordt teruggetrokken en er wordt geadviseerd te downgraden, vanwege één nieuw lek.
Het lijkt mij logischer om de eerdere versie 16 te handhaven totdat later vandaag daarvoor de update beschikbaar komt die dat ene nieuwe lek patcht.
Helemaal mee eens. Ik laat het lekker staan zo. Ik wacht wel op de volgende update.
Dus ik snap het terugtrekken ook niet helemaal, als het alleen om die geschiedenis gaat.
Comodo Dragon (een afgeleide van Chrome, met als verschil dat het privacy vriendelijker is) doet dat namelijk wel!
Ik heb het bij FF ook ingesteld om te auto updaten, maar ik moet het vooralsnog nog steeds handmatig doen. :-/
Ubuntu: update 16.0.1+build1-0ubuntu0 wordt aangeboden voor Firefox.
Dat deze bug niet prettig is, zonder NoScript, is helemaal waar.
... maar btw:
Heeft Microsoft ooit binnen 1 dag een update aangeboden voor een bekend IE-bug/lek/probleem?
Comodo Dragon (een afgeleide van Chrome, met als verschil dat het privacy vriendelijker is) doet dat namelijk wel!
Ik heb het bij FF ook ingesteld om te auto updaten, maar ik moet het vooralsnog nog steeds handmatig doen. :-/
Vroegah kon je ook geen Windows Updates installeren als je geen Admin was. Dit gaat nu iets beter, al loopt het met grote updates nog wel eens in de soep.
Ik denk dat men er nog steeds van uitgaat dat iedereen met Admin rechten werkt. En laat dat nou net zijn wat we terug willen dringen.
Oh, ik ken Comodo Dragon niet, maar Chrome doet alles in de Gebruikers-mappen, waar dus de gebruiker voldoende rechten heeft. Dat werkt dus ook niet, want als je de installatie standaard uitvoert, moet je onder elk account Chrome updaten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!