Mozilla-project patcht fouten in Firefox en Thunderbird

Het Mozilla-project, de ontwikkelaar van Firefox en Thunderbird, heeft gisteren een 'highly critical' update van Firefox uitgebracht. De update verhelpt zeven fouten in de browser die door hackers kunnen worden misbruikt om controle te krijgen over het systeem waarop de browser is geïnstalleerd en hen de mogelijkheid biedt om willekeurige programmacode uit te voeren. Met deze update komt het totaal aantal veiligheidsfouten dat in Firefox is verholpen op een totaal van 59, waarvan meer dan de helft het predicaat 'critical' droeg.

De bug met de grootste gevolgen die wordt verholpen in de meest recente update van de browser betreft een probleem in de verwerking van JavaScript. De fout die in dit deel van de browser aanwezig is, stelt kwaadwillende in de gelegenheid om door middel van een buffer overflow-exploit willekeurige programmacode uit te voeren. Ook wordt er een bug verholpen die een crash kan veroorzaakt en wordt een probleem in de auto-update feature van de browser gerepareerd, waardoor het voor hackers theoretisch mogelijk zou zijn om niet-officiële updates automatisch te installeren. Naast een update van Firefox is er ook een nieuwe versie van de e-mailclient Thunderbird verschenen die ernstige veiligheidsproblemen verhelpt. Ook van de SeaMonkey-browsersuite is een update uitgebracht die de nodige problemen verhelpt.

Reacties (25)

[Verwijderd]

De meeste van deze bugs zijn bugs die intern door Mozilla zijn gevonden, het zijn dus geen bugs in het 'wild'.
Veiligheid is de top-prioriteit voor Mozilla. Maar er wordt nog een inhaalslag gemaakt. In de tijd van Netscape/AOL is er veel code ingeslopen die eigenlijk niet voldoende op veiligheid/stabiliteit is gecheckt.

[RwD]

Pff, ik vindt wel dat ze er lang mee hebben rondgelopen voordat ze het patchte

(Ik heb geen idee hoe lang, maar het is een standaard opmerking was dit over IE en MS gegaan. Het zal hier vast ook wel van toepassing zijn afhankelijk van je perspectief op de zaak)

[DarkBlaze]

Als je goed leest staat er dat het totaal dat gepatched is op 59 staat en dat er bij deze update 7 gepatched zijn.

[BartOtten]

MyKel: volgens mij updaten die browsers in Linux niet zichzelf. Daar moeten distro-paketten voor gemaakt worden dus die verschijnen altijd wat later in jouw updatelist.

Beter trouwens dat Firefox nu dus wel die automatische updatefunctie heeft. Mijn broertje vertelde gisteren al dat hij "de nieuwe versie" had omdat hij gisteren weer een update had binnengehad. Werkt dus soepeltjes

[Verwijderd]

In Firefox 2 zou dat distro-probleem opgelost moeten zijn.
Ik heb hier Bon Echo (de beta van firefox 2) geinstalleerd, en die update zichzelf onafhankelijk van je distro

[Verwijderd]

Of je daar nu zo blij mee moet zijn weet ik eerlijk gezegd niet. Ik heb liever dat een Packet Manager de updates binnenhaalt, want dan worden ook gelijk de dependencies opgelost. Als meer programma's onder Linux dit gaan doen, dan kan je wachten op problemen.

Edit: hoezo overbodig?? Wel eens van package management gehoord?

[koffie-junk]

Ik vroeg me al af of het toeval was dat ze beiden tegelijk begonnen met updaten tijdens het opstarten.
Gelukkig brengt T.net ons weer het antwoord

[Snake]

hier doen ze niets?

[d3vlin]

Check onder Tools / Options / Advanced / Update de instellingen.En anders handmatig via Help / Check for updates...

[Aghilas]

Ik liet me daar ook door foppen.

Firefox vindt alleen updates als je hem onder Admin-rechten uitvoert. Bij normale user-accounts (die ik bijv. gebruik voor de dagelijkse activiteiten) geeft ie doodleuk aan dat er geen updates zijn.

[Verwijderd]

Begrijpelijk, want zonder adminrechten heb je toch niks aan die updates

[Verwijderd]

Kan aan mij liggen, maar ik heb ook het idee dattie weer sneller is (Mac OS 10.4).. van de vorige versie werd ik regelmatig gek, deze laadt weer als vanouds lekker snel.

[Verwijderd]

Bij Ubuntu Dapper is ie nog steeds versie 1.5.0.5. Wordt maar niet geupdate. Details: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.8.0.5) Gecko/20060731 Ubuntu/dapper-security Firefox/1.5.0.5

[Jungian]

Als je steeds de allernieuwste versies wilt hebben zul je toch echt moeten gaan denk aan iets anders dan Ubuntu Dapper

[Verwijderd]

Bij SUSE (10.1) gisteren gelijk met Windows beschikbaar. Veiligheid speelt kennelijk bij Ubuntu niet zo'n prominente rol.

[Verwijderd]

Pff, leuk hoor al die nieuwe versies. Zo blijf je in ieder geval bezig, er zou eens een week voorbij gaan waarin niet een van je gebruikte tools wordt geupdate

Wanneer wordt de 'silent-auto-update'-functie standaard?

[RwD]

Wat ik wel vervelend vind is dat de DOM inspector er niet mee werkt. En noem me gek, maar ik heb die extentie nooit geinstalleerd, zit ie er niet standaard bij???

[Verwijderd]

Er waren allerlei problemen tussengekomen, waardoor the 1.5.0.7 update (ik geloof) 2 weken later uitkwam dan de bedoeling was.
Vooral bepaalde bugs in ssl afhandeling zorgden voor nogal wat vertraging.

Ik weet niet precies wat je bedoelt met "Pff, ik vindt wel dat ze er lang mee hebben rondgelopen voordat ze het patchte".

Exploit bugs die in het wild worden aangetroffen worden zo snel mogelijk gefixt door Mozilla. Indien nodig, krijgen ze een aparte update.
Voor zover ik weet is dit nu ook het geval bij Microsoft, hoewel ik niet weet hoeveel ongepatchte exploits voor IE6 nu in omloop zijn. Voor zover ik weet zijn er geen ongepatchte exploits aanwezig in Firefox.

[Verwijderd]

Yup, die DOM inspector is standaard

[Verwijderd]

59 stuks maar nog steeds weinig interesse voor het maken van exploits tot nu toe.

[gamepower2005]

Dat er 59 problemen in een keer gepatcht worden, laat volgens mij zien dat er nog niet veel druk op Mozilla staat om bugs snel op te lossen.