Már a közelmúltban kiadott 40-es Firefox is elsősorban hibajavításokban jeleskedett, és most itt van egy újabb alverzió két újabb folttal. A Mozilla most nagyon ráerősített a biztonságra. Elkezdődött a bővítmények közötti nagytakarítás is, amit még az idén végig akarnak vinni: a nem megfelelően aláírt kiegészítők blokkolja majd a Firefox. Egyelőre azonban csak figyelmezteti a felhasználót, ha ilyen kiegészítőt használ – írta a Biztonságportál.
Mint azt a Bitport is megírta, a Google már tavaly szigorította a Chrome-bővítmények használatát. Egyrészt letiltotta a NPAPI-alapú (Netscape Plug-in Application Programming Interface) kiegészítőket, másrészt tavaly májustól minden olyan kiegészítő telepítését letiltotta, amit nem a Chrome Web Store-ból töltenek le a felhasználók, Ezek alól csak a vállalati, belső használatra fejlesztett bővítmények kivételek, melyeket azonban csak a jogosultsággal rendelkező felhasználók érhetnek el.
A hiba a kiegészítők kezelésében volt
Mivel most a Mozillánál is épp a kiegészítőblokkolás a nagy újdonság, közepes pofonnal is felér, hogy most a Firefox 40-es verziójában elsőként épp a bővítmények kezelésében találtak sérülékenységet. A magas veszélyességű kategóriába sorolt biztonsági rés az ún. "data:" URI-k (Uniform Resource Identifier) esetenkénti nem megfelelő kezelésére vezethető vissza.
A hiba kihasználásával ki lehet iktatni a bővítmények telepítésekor megjelenő figyelmeztetéseket. Így a támadó könnyebben ráveheti a felhasználót arra, hogy ártalmas kiegészítőket telepítsen. A felhasználóban ugyanis fel sem merül, hogy számítógép tulajdonosa egy ilyen támadás során mindvégig azt hiheti, hogy egy megbízható helyről szerzi be az adott bővítményt, holott a valóságban éppen egy kártékony kiszolgálóról töltöget le kódokat.
A másik sérülékenységet a canvas tagek átméretezésében találták. A kritikus veszélyességű sebezhetőség speciálisan összeállított weboldalak meglátogatásakor okozhat problémákat, mivel tetszőleges kódok jogosulatlan távoli végrehajtására is módot ad. A kódok a Firefoxot futtató felhasználó jogosultsági szintjének megfelelően hajtódnak végre.
A Firefox 40.0.3-as verziójában már befoltozták mindkét rést. Ha nem használja az automatikus frissítést, mihamarabb telepítse.
2026-ban a vállalkozások minden eddiginél több adatot generálnak és használnak. Az előrelátó vállalatok ezért újraértékelik a megközelítésüket: mi lenne, ha a tárolás, a biztonsági mentés és az együttműködés egyetlen rendszerben kezelhető lenne?
a melléklet támogatója a ONE Solutions
Projektek O-gyűrűje. Mit tanulhat egy projektvezető a Challenger tragédiájából?