Další bezpečnostní chyba ve Firefoxu 4.0

Ve Firefoxu 4 byla objevena další kritická bezpečnostní chyba v implementaci WebGL. Útočník může pomocí této chyby pořizovat obrazové záznamy veškerého dění v prohlížeči, nejen toho souvisejícího s WebGL. Bezpečnostní chyba totiž zpřístupňuje dříve použitý obsah paměti grafické karty.

20.6.2011 13:31 | Migi | Upozornění

Komentáře

[Kolemjdoucí]

Více informací viz http://www.mozilla.cz/zpravicky/firefox-5-opravi-implementaci-webgl/

[Petr Tomeš]

Pro zajímavost dodám, že dle vývojářů Firefoxu chyba ohrožuje 40-50 % uživatelů a objevitelé odkryly detaily (zbytečně brzy) 5 dní před vydáním páté řady obsahující opravu této chyby.

[Mrkva]

A čtvrtá řada opravena nebude?

[Petr Tomeš]

Ne, pro čtvrtou řadu se s udržujícími aktualizacemi nepočítá. Souvisí to s přechodem na nový vývojový cyklus, kde už by to asi bylo neudržitelná práce. Stejně to má Chrome, také neopravuje staré verze. Nebo Opera a Safari.

[Mrkva]

No to je fakt super.

[Petr Tomeš]

O distribuci opravy pro čtvrtou řady by se mohli/měli postarat vývojáři distribucí, to je koneckonců jejich práce.

[Atom321]

Naopak, distributoři nesmějí kód upravovat. Firefox je ochranná známka pro oficiální verzi. Pokud si distributor udělá vlastní úpravy (včetně backportu oprav), výsledek si musí pojmenovat jinak a použít jiné logo. Proto je v Debianu místo Firefoxu Iceweasel.

Když vývojáři Firefoxu tak strašně lpí na dobrém jménu, že zakazují jiným opravovat chyby, měli by to dělat sami.

[Petr Tomeš]

Například Ubuntu a Fedora Firefox obsahují a opravy vydávají.

[Mrkva]

A distribuují to pod názvem Iceweasel.

[Petr Tomeš]

A to víš nebo sis to vymyslel? Já nevím jak ty, ale já tu rozhodně vidím Firefox jak v názvu, tak v logu: http://www.ubuntu.com/ubuntu/features/web-browsing, http://packages.ubuntu.com/search?keywords=firefox&searchon=names&suite=all§ion=all; http://docs.fedoraproject.org/en-US/Fedora/15/html/Release_Notes/sect-Release_Notes-Changes_for_Desktop_Users.html#sect-RelNotes-Productivity, https://admin.fedoraproject.org/pkgdb/apps/search/firefox

[Mrkva]

Vím. http://lists.debian.org/debian-devel/2006/10/msg00665.html

[Petr Tomeš]

Ale já v příspěvcích, na které reaguješ, psal o Ubuntu a Fedoře, nikoliv o Debianu, tak příště nepiš nesmysly, ju?

[Mrkva]

Aha, pardon. To je ovšem divné - jedině snad že by Ubuntu a Fedora dostali povolení od Mozilly..

[Atom321]

Pak asi mají vyjednané povolení od Mozilla Foundation.

[Petr Tomeš]

Asi mají vyjednané a spolupráce dlouhodobě funguje. Chtěl jsem jen ilustrovat to, že to reálně jde a funguje, možná ne v Debianu, ale v jiných významných distribucích ano. Pokud jste se tak dověděli něco nového, tak jsem rád.

[Atom321]

To jsem zvědav, jak se distributoři Windows 7 pohrnou do oprav Firefoxu.

[Petr Tomeš]

Měl jsem na mysli linuxové distribuce, tam je normální/standardní, že se používá prohlížeč dodaný v distribuci. Uživatelé Windows mají možnost se chránit vypnutím technologie, použitím betaverze nebo instalací finální verze Firefoxu 5, která vyjde zítra a která bude relativně rychle automaticky nabízena uživatelům předchozích verzí.

[Vrsko]

Najlepsie je vypnut webGL vo Firefoxe cez "about:config" zmenit hodnotu webgl.disabled = true