0 day en Mozilla Firefox
Se ha encontrado una vulnerabilidad en
Mozilla Firefox que permite la ejecución de código remoto. No existe parche oficial y parece que se han revelado algunos detalles sobre la forma de aprovecharla, lo que lo convierte en un 0 day. Mozilla Firefox se une así a la "moda" que atosiga a Microsoft en los últimos meses.
Parece que
Mischa Spiegelmock y Andrew Wbeelsoi demostraron en la conferencia hacker ToorCon una vulnerabilidad en Mozilla Firefox que puede permitir a
un atacante remoto ejecutar código arbitrario en el contexto del usuario que ejecutase la aplicación, independientem ente del sistema operativo sobre el que se asiente. Parece que no se han publicado (al menos en línea) más detalles técnicos sobre el problema, pero la revelación de los descubridores ha llamado la atención de los medios. En cualquier caso, se debe ser cauto, y todavía desde algunos foros, se sospecha del verdadero alcance del problema.
JavaScript ha sido una de las pesadillas de seguridad de Firefox, y ha protagonizado muchas de las vulnerabilidad
es del navegador hasta la fecha. De hecho, los propios Spiegelmock y Wbeelsoi califican su implementación en Firefox de "un completo desorden" y afirman conocer al menos 30 fallos más que pueden permitir vulnerar al navegador a través de desbordamiento
s de pila y JavaScript. "Es imposible de parchear", afirmaron.
A Window Snyder, reciente jefa de seguridad de Mozilla, no le hizo demasiada gracia la revelación de la vulnerabilidad en público en una conferencia, sin que previamente se hubiesen puesto en contacto con el equipo de programación. Adelantó que están investigando el fallo, y que si afecta al intérprete, la solución puede llevar tiempo.
Para terminar de sembrar la polémica, los descubridores afirmaron que
"Internet Explorer, como todo el mundo sabe, no es muy seguro, pero Firefox también es bastante inseguro", avivando así una estéril discusión entre navegadores, ya bastante gastada tras, por ejemplo, el último informe de Symantec. En él, publicado a finales de septiembre, Symantec catalogaba 2.249 vulnerabilidad
es software descubiertas desde enero a junio de 2006. Del informe se desprendía que Internet Explorer era el navegador más atacado, pero que Mozilla Firefox sufría más vulnerabilidad
es. También, que Internet Explorer era el que mantenía a sus usuarios desprotegidos durante más tiempo. Este informe hizo que (como ocurre cada cierto tiempo) se volviese a discutir lo relativo de las cifras absolutas, y se condenasen los métodos de actualizacione
s de Microsoft.
Sin cifras ni estadísticas, no es menos cierto que desde el laboratorio de Hispasec, se viene observando desde hace tiempo cómo los troyanos tienen cada vez más en cuenta esta "alternativa" y no es raro encontrar su nombre en el código del malware destinado al robo de credenciales, si bien no se suelen utilizar sus vulnerabilidad
es como medio de infección... pero esto puede cambiar con el tiempo y su creciente popularidad.
En definitiva, navegar con Firefox (o cualquier otro navegador) no garantiza un mayor grado de seguridad que si se utiliza Internet Explorer con cierto cuidado. Sobre todo si el hacerlo proporciona una falsa sensación de seguridad y por ello se dejan de tomar las medidas de seguridad adecuadas que resultan imprescindible
s para usar de forma responsable cualquier programa. Esto debe ir más allá de su (subjetiva y etérea) fama de seguro o inseguro.
Más Información:
Mozilla Firefox Unspecified Javascript Remote Code Execution Vulnerability
Para ver este enlace Registrate o Inicia Sesion0day vulnerabilitie
s in Firefox, with source
Para ver este enlace Registrate o Inicia SesionHackers claim zero-day flaw in Firefox
Para ver este enlace Registrate o Inicia SesionSome Sobering Security Stats
Para ver este enlace Registrate o Inicia SesionAutor:
Sergio de los Santos
HispaSec
Fuente:
Para ver este enlace Registrate o Inicia Sesion AQUI
La "broma" del hacker que perjudicó a Mozilla
Expuso ante colegas supuestas fallas del navegador. Después aclaró que no eran ciertas
Uno de los expositores de la Conferencia de Hackers ToorCon que se realizó en San Diego, Estados Unidos, admitió que la falla que reportó en Firefox "fue una broma", luego de que Mozilla buscara arduamente la solución.
Mischa Spiegelmock aseguró que "el propósito principal de nuestro discurso (que realizó junto a su colega Andrew Wbeelsoi) fue ser gracioso". Además, añadió: "el código que presentamos no era real, y personalmente no tuve tuve resultados luego de su ejecuución, y no conozco a nadie que los halla conseguido".
Mischa Spiegelmock y Andrew Wbeelsoi habían demostrado en el evento que existe una falla de programación que puede ser utilizada gracias al modo en que Firefox maneja JavaScript. Según ellos, "cuando se ingresa a un sitio web que contiene el código malicioso, éste relllena toda la memoria disponible de la computadora", haciendo que el atacante tome el control de la misma.
Por su parte, Mozilla comenzó una intensa investigación en la búsqueda y correción de la vulnerabilidad y se había comprometido a publicar un parche lo antes posible.
Fuente:
Para ver este enlace Registrate o Inicia SesionAQUI
Autor