Mozilla Menutup Celah Kritis di Firefox, Thunderbird dan SeaMonkey
• 2 • 302
Mengikuti rilis baru aplikasi peramban web Firefox, klien email Thunderbird dan SeaMonkey sute, Mozilla memaparkan detail perbaikan keamanan yang disertakan di tiap update yang ada. Menurut informasi di halaman Security Center untuk Firefox, versi 10.0 menutup toal 8 celah di peramban web dimana lima diantaranya ditandai kritis oleh Mozilla.
Masalah kritis yang ada termasuk crash yang dapat dieksploitasi ketika melakukan pemrosesan stylesheet XSLT embedded yang diformat dengan tidak tepat, potensi korupsi memori ketika mendecode file Ogg Vorbis, pengecekan keamananXPConnect dibypass oleh skrip frame, error penggunaan setelah pembebasan di node child dari nsDOMAttribute dan berbagai ancaman keamanan memori. Vulnerabilitas ini dapat dieksploitasi secara remote oleh penyerang sebagai contoh untuk mengeksekusi kode tertentu di sistem korban.
Selain itu, Firefox 10 menutup dua isu yang memiliki dampak besar yang bisa mengakibatkan penyebaran informasi atau seorang penyerang melanggar kebijakan navigasi frame HTML5 denhgan mengganti sebuah sub frame untuk serangan phising. Bug level moderat ketike mengekspor sebuah key Firefox sync ke file “Firefox Recovery Key.html” yang menyebkan hak akses yang salah juga telah diperbaiki.
Menggunakan basis Mozilla Gecko platform yang sama dengan Firefox 10, SeaMonkey versi 2.7 “all-in-one internet application suite” juga menurutp seluruh celah yang sama, sementara Thunderbird 10 juga melakukan hal yang sama kecuali satu karena tidak terkena dampak bug hak akses yang salah karen tidak menggunakan Firefox Sync.
Sebuah update untuk cabang lawas Firefox 3.6.x, versi 3.6.23, memperbaiki empat dari isu kritis diatas dan satu bug ringan berkait dengan sintak literal yang terlalu permisif yang sebelumnya diperbaiki di Firefox 7.0, Thunderbird 7.0 dan SeaMonkey 2.4. Pengembang juga memberi catatan bahwa Firefox 3.6.26 sekarang memaksakan RFC 3986 IPv6 dengan sintaks literal, menambahkan bahwa ini mungkin akan mematahkan link yang ditulis dengan form non standard yang sebelumnya hanya diterima Firefox. Update Thunderbird versi 3.1.18 yang juga merupakan update cabang 3.1.x juga memperbaiki masalah ini.
Via :