A seguito della scoperta di una criticità di Firefox 3.6, Mozilla ha rilasciato con quasi una settimana di anticipo la release 3.6.2 del suo browser, scaricabile dal sito del progetto. Il bug era stato scoperto da Evgeny Legerov, che ha segnalato un integer overflow che avrebbe potuto portare all’esecuzione di codice estraneo.

La discussione sul bug ha portato subito al rilascio anticipato della versione 3.6.2 attesa per il 30 marzo, ma comunque già arrivata allo stato di release candidate. Non è questo però l’unico bug fissato, anzi le novità del rilascio sono limitate (si fa per dire) alla soluzione di diversi bug e alcuni problemi di stabililtà. Da notare che la versione 3.6 è quella a cui punta il Choice Screen di Microsoft.

Vediamo nello specifico di che si trattava. La vulnerabilità che ha consigliato il rilascio anticipato della nuova versione era stata classificata come “highly critical” da Secunia. Legerov si era accorto che attraverso questo buco (la falla era stata individuata nell’esecuzione di una routine per la decompressione dei font scaricati) si poteva mandare in crash Firefox e produrre l’esecuzione di codice malevolo sul pc della vittima.

La discussione però era iniziata il 4 marzo. E il non essere stato preso in considerazione da Mozilla, dopo aver lanciato l’allarme, aveva mandato in bestia Legerov, che aveva deciso di non fornire i dati necessari per risolvere in fretta il bug. La storia ce la racconta sfgate.com, mentre su pcworld.com viene fatto notare come si avvicini il contest fra gli hacker previsto alla prossima CanSecWest. Gli hacker dovranno “conquistare” un pc tramite falle in Firefox, Internet Explorer, Safari, o Chrome e si porteranno a casa, oltre al pc, 10.000 dollari.

Nelle prossime ore a tutti gli utenti di Firefox 3.6 dovrebbe essere suggerito di eseguire l’update, che si può comunque anticipare con l’apposita funzione del menu “Aiuto”. Il problema riguardava solo la release 3.6, non le precedenti. Chi sta testando la 3.7 dovrebbe assicurarsi di far girare l’alpha 3. L’invito ad aggiornare vale però anche per chi utilizza la versione 3 e 3.5.

Niente paura invece per Thunderbird e SeaMonkey, che sono basati su una versione precedente del browser engine e non dovrebbero quindi essere vulnerabili. Sarà utile ricordare che il ramo 3.0.x del progetto non è più supportato.

(nessun voto)

0 commenti