חדשות מוזילה

הדעות בקרב המומחים והטוקבקיסטים חלוקות באשר לנטל האשמה, אך פרצת אבטחה שדווחה ביום שלישי השבוע מאפשרת להריץ קוד שרירותי בהרשאות מורחבות בעזרת Firefox 2.0 ומעלה. במילים אחרות, גרסה זו מאפשרת להריץ תוכנות במחשב המשתמש ללא בקרה.

מסתבר שבזמן ההתקנה, Firefox רושם במערכת Windows פרוטוקול בשם firefoxurl, ואת עצמו בתור מי שמטפל בפרוטוקול זה. לכן, כתובות המשתמשות בפרוטוקול זה באתרי אינטרנט (כתובת מהצורה firefoxurl://someaddress) מועברות על ידי אינטרנט אקספלורר ישירות אל Firefox ללא בדיקה. תוקף זדוני יכול לבנות כתובת כזו שתפעל בהרשאות מערכת ה-chrome של Firefox (מערכת ממשק המשתמש), הפועלת בהרשאות מורחבות יותר מאשר קוד המגיע מאתרי אינטרנט. בהרשאות אלו, Firefox מפעיל את הקוד, גם אם הוא מכיל פקודות גישה אל המערכת.

יש הטוענים שהאשמה נופלת על אקספלורר, שלא בדק מה הוא מעביר אל פיירפוקס. עקרונית פרצה דומה יכולה לקרות עם כל פרוטוקול שכל תוכנה רושמת במערכת. עם זאת, החתום מטה הפעיל את הקוד המוכיח את הפרצה גם בעזרת דפדפן SeaMonkey מעודכן, כך שלא רק אקספלורר לא בודק מה הוא מעביר בפרוטוקול זה.

מצד שני, יש הטוענים שהאשמה נופלת על פיירפוקס, שלא בודק מה הוא מקבל. המצדדים בטענה זו טוענים, למשל, שהתוכנה המקבלת את הפרוטוקול לא יודעת מה הוא ערך "נכון" עבור פרוטוקול זה, ומי שמטפל בו, פיירפוקס, צריך לדעת כיצד לבדוק אותו.

כך או אחרת, וינדו סניידר, אחראית האבטחה של חברת מוזילה, כבר הודיעה שתיקון לבעיה ישוחרר עם גרסה 2.0.0.5 של פיירפוקס הצפוייה בקרוב.

עוד קישורים בדיווח ב-mozillaZine.

התמיכה ב-Firefox 1.5 מבחינת עדכוני אבטחה, שהיתה אמורה להסתיים ב-24 באפריל, הוארכה עד אמצע חודש מאי. העדכון האחרון הביא את סדרה 1.5 לגרסה 1.5.0.11, והיה אמור להיות העדכון האחרון לסדרה זו. הארכת התמיכה בוצעה על מנת לאפשר ביצוע עדכון אחד נוסף, 1.5.0.12, שיאפשר מעבר חלק מגרסה 1.5 לגרסה 2.0. ככל הנראה, הכוונה היא לאפשר שדרוג אוטומטי מגרסה 1.5 לגרסה 2.0 באמצעות מנגנון עדכוני התוכנה של הדפדפן. עד כה, מנגנון זה איפשר לבצע עדכוני אבטחה בלבד, בעוד עדכוני גרסה מלאים דרשו מהמשתמש להוריד את קובץ ההתקנה של הגרסה החדשה ולבצע את השדרוג ידנית.

למעט במקרים בהם מסיבה זו או אחרת לא ניתן לשדרג לגרסה 2.0, מומלץ לכל מי שמשתמש בגרסה 1.5 לעדכן לגרסה 2 בהקדם, על מנת ליהנות מן התכונות החדשות בגרסה זו.

התמיכה ב־SSL גירסה 2.0 מתוכננת להסרה מפיירפוקס. SSL מספק קישור מוצפן לשרתים, ומאפשר העברת נתונים מאובטחת של נתוני חשבונות בנק וכרטיסי אשראי על גבי האינטרנט. לרוע המזל, קיימות מספר פרצות אבטחה ידועות ב־SSL 2.0, אשר היווה את הגירסה הראשונה לתקן (לא שוחררה מעולם תוכנה שתמכה ב־SSL 1.0). לכן, קרן מוזילה מתכננת לבטל את התמיכה ב־SSL 2.0, ולאפשר לתוכנה להשתמש רק בפרוטוקולים החדשים והמאובטחים יותר – SSL 3.0 ו-TLS 1.0.

מאמינים כי רק מספר מועט של אתרים תומך בתקן SSL 2.0 בלבד, כאשר רוב האתרים המאובטחים תומכים לפחות ב־SSL 3.0. בחודש מאי האחרון, Gervase Markham ביקש ממפתחים ובודקי האיכות לדווח על אתרים שתומכים רק ב־SSL 2.0 כדי לקבל מושג על הכמות. על סמך נתונים אלו נבנתה רשימה, והוא ביקש ממתנדבים ליצור קשר עם מתחזקי האתרים הנ"ל ולבקש מהם לאמץ את התמיכה ב־SSL 3.0 ו/או TLS 1.0. לפי הדיווח האחרון של Grev, קיימים בסביבות 2,000 אתרים שתומכים רק ב־SSL 2.0, לאחר שספקית אינטרנט גדולה שידרגה את שרתיה, ובצעד זה הורידה את כמות האתרים במספר אלפים.

Netscape Communications Corporation אימצה את התקן SSL 2.0 עם שיחרור גירסה 1.0 של Netscape Navigator בשנת 1994. Netscape Navigator גירסה 2.0, אשר שוחררה בשנת 1996 כבר כללה תמיכה בתקן SSL 3.0. המפרט של TLS 1.0, שבעיקרו הוא סטנדרטיזציה של התקן SSL 3.0 עם מספר שינויים פורסם ב־1996.

מקור: MozillaZine

אמש התגלתה בעית אבטחה חמורה בשימוש בהרחבה GreaseMonkey בגירסאות מאוחרות ל-0.3.5 או גירסאות אלפא של 0.4. הבעיה מאפשרת לאתרים לקרוא תוכן תיקיות וקבצים בדיסק הקשיח באמצעות XmlHttpRequest, בכל הפלטפורמות, כאשר חייב להיות משוייך לאתר תסריט GM כלשהו.

הבעיה נובעת משינויים שנעשו ב-API של ההרחבה על-מנת לתת לה כוח נוסף מעבר לכוח שיש לתסריטי ג'אווה-סקריפט ב-HTML. עד לתיקון הבעיה יעברו מספר ימים, וההמלצה היא או להשתמש בגירסה 0.3.5 או להסיר/לבטל את ההרחבה. שימו לב כי הרחבות שמשתמשות ב-API המתקדם יותר תחדלנה מלתפקד בגירסה זו.

יש שיגידו שמדובר בתופעת הלוואי של מוצרים כשהם מגיעים ל-Mainstream, ויש שיגידו כי מדובר פשוט בהרחבה שנותנת יותר מידי כוח לתסריטי משתמש.

למידע נוסף: Greaseblog: Mandatory Greasemonkey Update

קרן מוזילה שיחררה עדכון אבטחה לגרסה PR (0.10)‎ (הגרסה האחרונה) של Firefox. את העידכון ניתן להוריד בצורת הרחבת XPI מכאן (רק לדפדפני Firefox).

ההודעה לא פירטה איזה גרסאות מושפעות מפירצת האבטחה, שנתגלתה השבוע, אלא רק המליצה להתקין את הטלאי או לעדכן את הדפדפן. עד שיתברר עניין הגרסאות, לדעתי עדיף שלא להתקין את הטלאי על גרסאות ‎0.9.x.

אנו מצפים להוציא גרסה עברית של גרסה PR (0.10)‎ במהלך השבוע.

מקור: הודעה לעיתונות של קרן מוזילה