vendredi 03 juillet
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

: Correction d'une faille importante dans Mozilla, Firefox et Thunderbird

Posté par tuiu pol (Jabber id, ). Modéré le 09 juillet 2004.
0
La fondation Mozilla vient juste de sortir un trio de nouvelles versions de Mozilla pour la correction de la vulnérabilité de sécurité du Windows shell. Ces versions n'apportent donc rien d'autre que le correctif.

Le correctif implique la désactivation du shell : manipulateur de protocole, qui a été découvert comme permettant aux pages de lancer des exécutables sur Windows par l'intermédiaire d'un lien.

Un XPI (Cross Platform Installer) est disponible pour désactiver cette fonctionnalité et il est également possible de se protéger en positionnant la valeur de l'option de configuration network.protocol-handler.external.shell à false.

> Lire la suite (32 commentaires, moyenne: 4,1).   [dépêche : 1009 caractères]

Mozilla 1.7.1 est ici :
http://ftp.mozilla.org/pub/mozilla.org/mozilla/releases/mozilla1.7.1/mozilla-win32-1.7.1-installer.exe
Firefox 0.9.2 est ici :
http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/0.9.2/FirefoxSetup-0.9.2.exe
Thunderbird 0.7.2 est ici :
http://ftp.mozilla.org/pub/mozilla.org/thunderbird/releases/0.7.2/ThunderbirdSetup-0.7.2.exe

De plus Laurent Jouanneau et Pascal Chevrel traitent de la réactivité de la Mozilla Foundation et de la communauté sur leur blog respectif.

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Question béte ?

Posté par Beretta_Vexee (Jabber id, ) le 09/07/2004 à 22:13. (lien). Évalué à 19.

Pourquoi l'annonce de la version 0.9.1 de Firefox et 0.7.1 de Thunderbird ont fait une semaine de purgatoir pour finir en nouvelle de deuxiéme page alors que ces versions corrigés des bugs recurrent sous tous les systemes alors qu'une alerte de securité windows et une mise a jour mineur ( 1 bug contre 5 a moin pour les 0.x.1 ) font la premiére page ?

--
Il relève de la responsabilité du lecteur de contrôler, par tous moyens, l'adéquation du message à ses besoins et de s'assurer qu'il ne causera pas de dommages aux personnes et aux biens.

Faille Mozilla ? Ou windows ?

Posté par Yann Cochard (page perso, ) le 10/07/2004 à 07:33. (lien). Évalué à 17.

Salut,

Ce n'est pas vraiment une faille de Mozilla.
Ce qui se passe, c'est que certains liens utilisent des handlers autres que "http:", "ftp:", etc. Quand le navigateur ne sait pas quoi en faire, il est cense le passer au systeme d'exploitation, qui lui repond ok ou bien je ne sais pas.
Dans notre cas, il s'agit de "shell:", qui est connu de windows. Il s'agit d'executer arbitrairement tout code qui lui est passe par ce biais. C'est pour ca que cette faille n'affecte que window XP/2K, et pas les autres systemes d'exploitation ou tourne Mozilla.
La question est de savoir s'il faut bloquer tout ces handlers non connus, ou bien s'il faut faire confiance au systeme sous-jacent.

Conclusion : c'est plutot un probleme windows que Mozilla.
L'equipe de Mozilla discutait depuis 2 ans pour savoir s'il fallait ou pas empecher ce genre de comportements, mais a partir du moment ou un exploit a ete publie, en 24h ils ont sorti le patch.

Yann

Windows uniquement !

Posté par b (page perso, ) le 10/07/2004 à 08:39. (lien). Évalué à 6.

Ca ne concerne que Windows, il serait bien de le preciser dans la depeche.

changelog Mozilla 1.7.1?

Posté par David () le 12/07/2004 à 09:44. (lien). Évalué à 2.

est-ce que Mozilla 1.7.1 est :
- Mozilla 1.7 auquel on a rajouté un patch
ou
- une extraction de la branch 1.7 (basée sur Mozilla 1.7), à laquelle on a rajouté un patch?

Existe-t-il un vrai changelog pour Mozilla 1.7.1?
Merci!

David.

mes 2 cents d'oran outan (homme des arbres )

Posté par jo7 () le 12/07/2004 à 12:15. (lien). Évalué à 0.

FIrefox
+ sur clubic, sur un conseil donné sur linuxfr, firefox 7.2 est en français, en désinstallant, supprimant le dossier et en remplaçant par la nouvelle version, j'ai gardé à peu prés tout extension thème etc, seuls les moteurs de mycroft ont disparus
+ au passage je signale une extension EUrekster : c'est un moteur qui se souvient de ce que vous avez apprécié , et ce que vos amis ont apprécié, lors des dernières recherches, c'est un fonctionnement qui rappelle un peu stumble upon, mais appliqué à une recherche, pas "au hasard" ; cette extension est particulièrement bien faite puisqu'elle se comporte exactement comme les autres toolbars // googlebar est controlée uniquement par ctrl+F8 et stumble ctrl+F9)

THunderFOX heu bird,
+ ben il ne démarre plus qu'en "safe mode" (choix dans le groupe du menu démarrer ( "thunderbird.exe -safe-mode" si quelqu'un en a besoin ),
+ autrement ça baigne presque, les extensions ne s'installent toujours pas simplement, plus du tout d'ailleurs,
+ on s'y retrouve difficilement dans les préfèrences, notament pour choisir l'emplacement des courriers c'est par le profile manager ...
--> Je reprend mon vieux calypso (pas libre mème pas vraiment freeware, mais j'ai pas de chance à chaque fois que j'ai testé autre chose je suis revenu dessus ) (sous windows)
(http://www.gratilog.net/internet1.htm,(...) chercher calypso )

Mozilla 1.7, ... il y a l'éditeur ... mais je surfe pas avec alors pas besoin de mettre à jour

Mozilla n'est pas le seul produit vulnérable à ce type d'attaque

Posté par Jean-Christophe Berthon (page perso, ) le 12/07/2004 à 15:00. (lien). Évalué à 6.

Bonjour,

Aujourd'hui Secunia a découvert le même type de faille dans 2 autres produits, il s'agit de Word 2002 et MSN Messenger 6.X de Microsoft.
Cela pourrait également, à mon avis, toucher d'autres produits d'autres compagnies, il faudra se méfier jusqu'à l'on en sache plus.

Voici l'information sur le site de Secunia (attention c'est en anglais pour les anglo-phobes s'abstenir) : http://secunia.com/advisories/12042/(...)

--
Jean-Christophe

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1444s (dont 0.0147 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !