image

Lek in Mozilla, Mozilla Firefox, Opera, Netscape, Konqueror en Camino

woensdag 20 oktober 2004, 16:39 door Redactie, 25 reacties

De vandaag gegeven waarschuwing voor een lek in Internet Explorer is niet de enige, want ook Mozilla, Mozilla Firefox, Opera, Netscape, Konqueror en Camino hebben te maken met een lek. Hoewel dit spoofing lek niet als kritiek wordt bestempeld, kan een kwaadwillende website hier toch misbruik van maken. Inactieve tabs kunnen namelijk een dialoogvenster in een andere tab laten zien. Dit kan door kwaadwillende websites misbruikt worden door een dialoogvenster te laten zien dat van een betrouwbare site vandaan lijkt te komen.

Het lek is aanwezig in Mozilla 1.7.2 en 1.7.3, Mozilla Firefox 0.10.1, Camino 0.8, Netscape 7.2 en Opera 7,54, maar andere versies zouden ook kwetsbaar kunnen zijn. Er wordt aangeraden om betrouwbare websites niet te bezoeken als ook onbetrouwbare sites bezocht worden of men moet JavaScript uitschakelen. Het lek zou in de komende versie van Opera, 7.60, verholpen moeten zijn.

Het lek in Konqueror is aanwezig in versie 3.2.2-6, maar ook andere versies zouden kwetsbaar kunnen zijn. Volgens de aanbieder is het lek in versie KDE 3.3.1 verholpen.

Reacties (25)
20-10-2004, 17:16 door Anoniem
Tja, zo zie je maar weer dat je niet op andere browsers kan
bouwen. De andere browsers zijn eigenlijk allemaal
hetzelfde, dus als er in de 1 een fout word gevonden heb je
grote kans dat dezelfde fout ook in de ander zit. Ik ben van
mening dat de browser helemaal in het OS geintegreerd moet
zitten, want dan kan deze gewoon bij het OS geupdate worden.
Dit is gelukkig al te zien bij IE.
20-10-2004, 17:33 door Anoniem
Ook hier overtreft IE de andere bladeraars.
20-10-2004, 19:34 door Anoniem
De fout betreffende de formulieren is op 4 oktober al door
de Firefox ontwikkelaars er uit gehaald. Gebruikers van de
"nightly updates" zijn dus al geholpen.
Binnenkort wordt Release Candidate 1 van Firefox 1.0
verwacht, dan zijn waarschijnlijk al deze fouten verholpen.
20-10-2004, 19:34 door Anoniem
Door Anoniem
Tja, zo zie je maar weer dat je niet op andere browsers kan
bouwen. De andere browsers zijn eigenlijk allemaal
hetzelfde, dus als er in de 1 een fout word gevonden heb je
grote kans dat dezelfde fout ook in de ander zit. Ik ben van
mening dat de browser helemaal in het OS geintegreerd moet
zitten, want dan kan deze gewoon bij het OS geupdate worden.
Dit is gelukkig al te zien bij IE.
Helemaal mee eens. Bijvoorbeeld Opera en Firefox zijn
vrijwel exact dezelfde browser maar alleen een andere skin.
En voor automatisch updates *moet* de browser in het os
geïntegreerd zijn, anders kan het echt niet.
Ben blij dat hier ook mensen reageren die wel verstand van
zaken hebben!
20-10-2004, 20:03 door Anoniem
Door Anoniem
Helemaal mee eens. Bijvoorbeeld Opera en Firefox zijn
vrijwel exact dezelfde browser maar alleen een andere skin.
En voor automatisch updates *moet* de browser in het os
geïntegreerd zijn, anders kan het echt niet.
Ben blij dat hier ook mensen reageren die wel verstand van
zaken hebben!

Het is duidelijker als je [sarcasme] [/sarcasme] om je reactie zet. Of wat
dat serieus?
20-10-2004, 21:54 door Anoniem
Inderdaad, je moet Mozilla / Firefox / Opera en al die andere shit
die zoveel op elkaar lijkt helemaal niet gebruiken. Vooral niet doen,
zeg ik al jaren. Nee, hoor, he-le-maal niet, never nooit. Lekker
blijven harken in IE, en daarbij vooral de automatische update
aanzetten, zodat je ook lekker snel SP2 binnenhebt. Doe alle
lichten maar aan, en zet de deuren wagenwijd open, doe je ogen
stijfdicht, en roep nog maar een hard naar alle hackers: joehoe,
hier lig ik op mijn rugje! Als een maagd tussen de hamerhaaien.
Laat ons alsjeblieft snel het nakijken hebben. Laat ons aub. snel
weer van die inferieure programmatjes genieten met een klein, veel
te klein groepje onnozelen.
20-10-2004, 22:06 door Anoniem

Het is duidelijker als je [sarcasme] [/sarcasme] om je
reactie zet. Of was
dat serieus?

Vroeg ik me ook af. Zonder bevestiging dat het om een
serieus bericht gaat, bespaar ik me de moeite om erop te
reageren (ai doe ik nu dus eigenlijk al).
20-10-2004, 22:19 door G-Force
Toch vind ik het wel schandalig dat niemand in staat blijkt om een
fatsoenlijke browser te maken. Eens zag ik het ontwikkelingsteam
van Mozilla op de TV aan het werk. Bij het zien van
de "programmeeractiviteiten" van deze groep, liepen mij de rillingen
over m'n rug. Spagetti-programmeurs noem ik ze liever. Enige vorm
van gestructureerd programmeren was er niet bij. Ik kan me daarom
wel voorstellen dat er tijdens zulke sessies iets verkeerd loopt.

Misschien is de browser ook wel op zo'n manier tot stand gekomen,
wie weet!
20-10-2004, 22:21 door Anoniem
Echt veilig browsen doe je met wget i.c.m. vim.
20-10-2004, 22:25 door Anoniem
Door Anoniem
Ik ben van
mening dat de browser helemaal in het OS geintegreerd moet
zitten, want dan kan deze gewoon bij het OS geupdate worden.
Dit is gelukkig al te zien bij IE.

Firefox heeft sinds de eerste release van v1.0 een
automatische updater.
20-10-2004, 22:35 door Anoniem
Door P.G.Verhoeven
Toch vind ik het wel schandalig dat niemand in staat blijkt
om een fatsoenlijke browser te maken. Eens zag ik het
ontwikkelingsteam van Mozilla op de TV aan het werk. Bij het
zien van de "programmeeractiviteiten" van deze groep, liepen
mij de rillingen over m'n rug. Spagetti-programmeurs noem ik
ze liever. Enige vorm van gestructureerd programmeren was er
niet bij. Ik kan me daarom wel voorstellen dat er tijdens
zulke sessies iets verkeerd loopt.Misschien is de browser
ook wel op zo'n manier tot stand gekomen, wie weet!
Als de broncode van Mozilla spaghetti is, zullen ze
binnenkort wel een patent-claim van M$ aan hun broek hebben
hangen!
21-10-2004, 01:02 door Anoniem
En een ieder heeft weer voer om zijn eigen molens op don
quichotte achte wijze bevechten in een zinloze wellus nietus
discussie over IE of Firefox.
Hebben jullie nou echt niks beters te doen.
Ik heb diep Medelijden met jullie internet weduwen die
zitten te wachten op de bank tot jullie klaar zijn met dit
onzinnige gespoof
21-10-2004, 09:30 door Anoniem
een beetje fatsoenlijk os heeft automatische update voor al
zijn software
21-10-2004, 10:00 door Anoniem
Een beetje fatsoenlijk OS begint niet met MS maar met mandrake, of
redhat...
21-10-2004, 10:02 door Sentinel69
Tuurlijk jongens, brand de alternatieve browsers maar weer
af, het ontbreekt jullie telkens weer aan * goede*
argumenten en hoor ik alleen nog maar dom gebral met als
enig doel een ander af te zeiken.

Over smaak valt niet te twisten ,dus laat iedereen in zijn
waarde als die niet voor een standaard kiest....dank u.
21-10-2004, 10:18 door Anoniem
Door Anoniem
Door Anoniem
Tja, zo zie je maar weer dat je niet op andere browsers kan
bouwen. De andere browsers zijn eigenlijk allemaal
hetzelfde, dus als er in de 1 een fout word gevonden heb je
grote kans dat dezelfde fout ook in de ander zit. Ik ben van
mening dat de browser helemaal in het OS geintegreerd moet
zitten, want dan kan deze gewoon bij het OS geupdate worden.
Dit is gelukkig al te zien bij IE.
Helemaal mee eens. Bijvoorbeeld Opera en Firefox zijn
vrijwel exact dezelfde browser maar alleen een andere skin.
En voor automatisch updates *moet* de browser in het os
geïntegreerd zijn, anders kan het echt niet.
Ben blij dat hier ook mensen reageren die wel verstand van
zaken hebben!


Je wilt geen automatische updates in een professionele
omgeving, maar wel voor thuisgebruikers. Je wilt geen
integratie in het OS...

Integratie van de browser in het OS wil zeggen dat je de
shell van het OS (explorer dus) en de niet-vertrouwde wereld
van het internet (dus per definitie onveilig) integreert.
Dit lijkt me niet heel handig.

Als je goed kijkt naar de vulnerabilities die IE plagen dan
zie je dat dit voor een heel groot deel zogenaamde
cross-zone vulnerabilities zijn. Oftewel, het uitvoeren van
content uit een niet-vertrouwde zone als internet binnen een
vertrouwde zone. Het gebruik van meeerdere security levels
binnen één product heet MLS, ofwel Multi-Level Security. MLS
is op dit moment niet productierijp. Het feit dat Microsoft
een dergelijke feature implementeert in de shell van een
operating system vind ik op zijn minst optimistisch.

Dan even die updates... er zijn te veel voorbeelden te
bedenken waar automatisch updaten automatisch ellende in
huis halen betekent. Er zijn te veel gevallen bekend waarbij
een automatische update een omgeving om zeep hielp. Aan de
andere kant is automatisch updaten zinvol voor
thuisgebruikers die van systeembeheer geen kaas gegeten
hebben. Maar dan moet Microsoft eigenlijk z'n updatefunctie
ombouwen naar een full update... systeemsoftware én
applicaties.
21-10-2004, 11:02 door Rene V
Door Anoniem
Door P.G.Verhoeven
Toch vind ik het wel schandalig dat niemand in staat blijkt
om een fatsoenlijke browser te maken. Eens zag ik het
ontwikkelingsteam van Mozilla op de TV aan het werk. Bij het
zien van de "programmeeractiviteiten" van deze groep, liepen
mij de rillingen over m'n rug. Spagetti-programmeurs noem ik
ze liever. Enige vorm van gestructureerd programmeren was er
niet bij. Ik kan me daarom wel voorstellen dat er tijdens
zulke sessies iets verkeerd loopt.Misschien is de browser
ook wel op zo'n manier tot stand gekomen, wie weet!
Als de broncode van Mozilla spaghetti is, zullen ze
binnenkort wel een patent-claim van M$ aan hun broek hebben
hangen!


LOL!! goeie ;)
21-10-2004, 11:08 door Anoniem
Oneens. Ik ben van mening dat iedere producent van software
zelf voor het automatische updaten moet zorgen. Gelukkig
doen al een boel producenten dit.
21-10-2004, 12:45 door raboof
Door P.G.VerhoevenEens zag ik het
ontwikkelingsteam
van Mozilla op de TV aan het werk. Bij het zien van
de "programmeeractiviteiten" van deze groep, liepen mij de
rillingen
over m'n rug. Spagetti-programmeurs noem ik ze liever. Enige
vorm
van gestructureerd programmeren was er niet bij.

Huh, bij wat voor 'event' was dat dan? Normaal gesproken
zijn de developers immers fysiek niet bij elkaar in de buurt...

Overigens valt het met die spagetti-code volgens mij wel
mee, als je bijvoorbeeld ziet dat de Javascript-engine zo
mooi onafhankelijk van de rest is gebouwd dat hij nu ook
gebruikt kan worden voor de browser 'elinks'. Da's toch een
goed teken.

Ik krijg zelfs de indruk dat Mozilla het juist vaak 'te
mooi' wil doen, wat eraan bijdraagt dat Mozilla door al die
abstracties wel relatief log is (hoewel dat ontzettend is
verbeterd de laatste jaren).
21-10-2004, 12:55 door raboof
Aan de andere kant is automatisch updaten zinvol voor
thuisgebruikers die van systeembeheer geen kaas gegeten
hebben. Maar dan moet Microsoft eigenlijk z'n updatefunctie
ombouwen naar een full update... systeemsoftware én
applicaties.

Ik ben wel voor zo'n `gecentraliseerd' update-systeem: zo
hoeven niet alle programmeurs het vierkante update-wiel
opnieuw uit te vinden, maar kan de aanbieder van het OS het
gewoon 1 keer goed doen. Ik ben zelf verknocht aan het
'apt-get'-mechanisme van Debian: 'apt-get update' en alle
nieuwe versies stromen binnen.

Natuurlijk is het maar de vraag of je dat automatisch wil
laten gebeuren, of onder toezicht van de beheerder. Maar het
is een fijne tool, als je het mij vraagt.

En als je bedenkt dat het in het versnipperde bos van
Linux-distributies al goed werkt, dan zou je toch denken dat
het onder Windows helemaal prachtig zou moeten gaan.
21-10-2004, 21:14 door Anoniem
Wie zelf wil beoordelen of de Firefox-broncode spaghetti is,
kan de sources op
http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/0.10.1/firefox-1.0PR-source.tar.bz2
downloaden en bekijken. Hoe eetbaar het inwendige van
Internet Explorer is, kunnen we helaas alleen maar vermoeden.

Verder begrijp ik dat de heer Verhoeven zelf gezegend is met
uitzonderlijke programmeerkwaliteiten. Ik zou hem aanraden
iets met zijn talent te doen. Word medeontwikkelaar van
Firefox en/of Mozilla en maak er iets moois van. Of maak uw
bijzondere vaardigheden te gelde bij Microsoft. Die zitten
met smart te wachten op mensen zoals u.
22-10-2004, 01:21 door Anoniem
Ik weet niet hoor, maar firefox heeft de update functie
automatisch AANstaan. Dus niet zeuren dat een Browser in het
OS moet zitten, als de browser zichzelf checkt is dat ook
perfect.

Ik merk dat mozilla de laatste tijd veel spoofing exploits
heeft, maar aan de andere kant heeft internet explorer meer
code execution exploits, welke ik gevaarlijker vindt.

[redactie, kunnen jullie de eerste paar posts checken op
trolling? ]
22-10-2004, 12:15 door Gregz
De "demo" die Secunia (
http://secunia.com/multiple_browsers_dialog_box_spoofing_test/
) heeft staan werkt ook gewoon onder IE als je "open in
nieuw venster" doet, persoonlijk vind ik het een erg zwak
voorbeeld van spoofing, niets zegt mij dat de popup van de
nieuwe site komt, slechts de timing.. Zo lust ik er nog wel
een paar.

Conclusie: Een erg zwakke poging om aan te tonen dat niet
alleen IE lek is.
22-10-2004, 15:25 door Anoniem
werkt ook gewoon onder IE als je "open in
nieuw venster" doet
Dan begrijp je de bug niet goed. De bug is juist dat je de
popup krijgt van de ene site als je op de pagina van de
andere site staat. Bij IE is dit niet het geval, want daar
blijft de popup voor de goede pagina staan.
11-11-2004, 03:39 door Anoniem
Door Anoniem
Inderdaad, je moet Mozilla / Firefox / Opera en al die
andere shit
die zoveel op elkaar lijkt helemaal niet gebruiken. Vooral
niet doen,
zeg ik al jaren. Nee, hoor, he-le-maal niet, never nooit.
Lekker
blijven harken in IE, en daarbij vooral de automatische update
aanzetten, zodat je ook lekker snel SP2 binnenhebt. Doe alle
lichten maar aan, en zet de deuren wagenwijd open, doe je ogen
stijfdicht, en roep nog maar een hard naar alle hackers:
joehoe,
hier lig ik op mijn rugje! Als een maagd tussen de hamerhaaien.
Laat ons alsjeblieft snel het nakijken hebben. Laat ons aub.
snel
weer van die inferieure programmatjes genieten met een
klein, veel
te klein groepje onnozelen.

helemaal mee eens
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.