jeudi 09 octobre
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

Dépêche éditée par

: Nouvelles failles de sécurité de Mozilla et Firefox

Posté par DPhil (page perso, ). Modéré le 09 août 2004.
0
Mozilla (<=1.7.1) et Firefox (<=0.9.2) sont victimes de deux failles importantes de sécurité.
Un code malveillant permet de faire croire qu'un site possède un certificat de sécurité alors qu'il n'en a pas.

Plus grave, un attaquant peut écraser les certificats racines de l'autorité de certification.

Ces deux bugs ont été corrigés dans les sources mais il n'existe pas encore de version compilée disponible pour le public. L'équipe Mozilla ne sachant pas encore si elle doit faire une nouvelle version ou distribuer un patch. (NdM : a priori, pour ce qui est de Firefox, il n'y aura pas de nouvelle version avant la 1.0rc1 prévue pour le 10 août.)

Mise à jour : Firefox 0.9.3, Mozilla 1.7.2 et Thunderbird 0.7.3 sont sortis officiellement. (voir les problèmes de sécurité corrigés). Merci à EppO pour l'information.

> Lire les commentaires (35 commentaires, moyenne: 1,6).  

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

[+] First Post ?

Posté par ElVirolo (Jabber id, page perso, ) le 31/07/2004 à 21:31. (lien). Évalué à -8.

s/0.92/0.9.2

A voir aussi (sur ./) la faille qui permet à un site de "spoofer" l'interface XUL de Mozilla ou de Firefox et permettre de faire croire, par exemple, que la connexion est sécurisée ...

Article sur ./ :http://it.slashdot.org/article.pl?sid=04/07/31/0037210&tid=154&(...)

Voir ceci pour un exemple de spoof de l'interface XUL (cliquer sur View the spoof that mimics the interface of Firefox versions 0.9.0 - 0.9.2):http://www.nd.edu/~jsmith30/xul/test/spoof.html(...)

FireFox vs IE (Ho, My god)

Posté par Fred (page perso, ) le 01/08/2004 à 02:45. (lien). Évalué à 1.

IE n'est plus recommander aux Etat Unis par un obscure organisme (il n'est du tout obscure mais je ne me rappel pas du nom en rentrant de boite à 4h30 du mat). A la place ils recommandaient Mozilla/FireFox, Opera... D'ailleurs Mozilla/FireFox avaient repris un peu de terrain sur IE. Mais avec des annonces de failles ça devient plus chiant niveau crédibilité. Evidement, on ne va pas les cacher à la M$ surtout si elles sont corrigées rapidement. Mais il faut avouer que c'est un peu chiant vis à vis du grand public. Donc tout ça pour dire : tant mieux qu'elles soient trouvées et corrigées rapidement mais fait chier tout de même!

Comment ?

Posté par XHTML/CSS inside (page perso, ) le 01/08/2004 à 08:55. (lien). Évalué à 4.

L'équipe Mozilla ne sachant pas encore si elle doit faire une nouvelle version ou distribuer un patch.

S'ils ne veulent pas perdre en crédibilité, il vaut mieux qu'ils fassent les deux, et rapidement encore !

Bon, j'arrête de râler : --> http://www.tusors.fr.st/(...)

--
In tartiflette we trust !

Vous arrivez à reproduite le spoof de certificats ?

Posté par yoconono () le 01/08/2004 à 16:45. (lien). Évalué à 0.

Salut, je n'arrive pas à epxloiter le code fourni sur ECHU

-----------------------------
< HTML>
< HEAD>
< TITLE>Spoofer< /TITLE>
< META HTTP-EQUIV="REFRESH" CONTENT="0;URL=https://www.example.com(...)">
< /HEAD>
< BODY
onunload="
document.close();
document.writeln('< body onload=document.close();break;>
< h3>It is Great to Use example's Cert!');
document.close();
window.location.reload();
">
< /body>
----------------------------------

Quans je pointe vers un site https et bien... j'y arrive, tout simplement.


J'ai la configuration suivante :

Mandrake 10 official
Firefox 0.9.1 + switchproxy +adblock + user agent switcher

Pour le test :
1er test : une page html en local
2eme test : une page html sur un serveur distant (http of course)

Quelqun arrive à l'exploiter ?

Logiciel libre, sureté logiciel et la mythologie des balles en argent...

Posté par Alexandre Dulaunoy (page perso, ) le 01/08/2004 à 17:45. (lien). Évalué à 6.

Une fois de plus, il est important de noter que l'argumentaire le plus valide est l'argumentaire de la liberté et non celui de la technique. Le logiciel libre possède quelques avantages complémentaires au logiciel propriétaire sur les questions de sécurité (la *possibilité* d'étudier le logiciel et son code source). Mais cela n'est pas une garantie, la sécurité (sureté) logiciel est une chose difficile par le fait même de la structure et l'architecture des ordinateurs et de la complexité. Il n'existe pas de recettes miracles pour résoudre les vulnérablités mais un ensemble de règles pour *limiter* les risques. Il me semble que certains CSIRTs (comme le CERT(tm)) sont dans les débuts de réflexion sur le sujet alors que le sujet est couvert de plus en plus par la littérature (on peut regarder les écrits de John Viega (http://www.viega.org/(...)) sur le sujet ou les ouvrages comme "Secure Coding" (0-596-00242-4) ou "Exploiting Software" (0201786958)).

Le logiciel libre aide plus pour la sécurité du logiciel par ses libertés mais n'est pas solution miracle (il ne doit pas en exister puisque ce sont des miracles ;-), Le logiciel libre apporte par ses libertés un outil fabuleux pour s'instruire, évoluer et programmer des logiciels plus sures et permet souvent d'éviter la sécurité par l'obscurité. Le logiciel libre libre est un outil pour améliorer la sécurité par le fait de ses 4 fabuleuses libertés. Ce *n'est pas* l'équation "logiciel libre = sûreté en ingénierie logiciel"...

[+] y en a trop marre ...

Posté par blenderman () le 10/08/2004 à 08:25. (lien). Évalué à -1.

Ca fait la troisième ou quatrième fois que je vois cette news en tête des dépèches de seconde page ...

A chaque fois je pense que se sera quelque chose de nouveau ... mais non !

ca commence a devenir vraiment lourd linuxfr...

Désolé ... c'était mon coup de gueule du matin.

--
-pol-

Extrait de 01 net

Posté par Valdenaire Denis (page perso, ) le 10/08/2004 à 11:41. (lien). Évalué à 2.

http://www.01net.com/article/249374.html(...)

>>Les images open source ne sont pas infaillibles

>>Une série de six failles de sécurité, liées au format d'image open source PNG, >>exposerait les utilisateurs à des intrusions sauvages dans leur ordinateur, >>notamment sous Linux, Windows et Mac OS

intrusions sauvages dans leur ordinateur :)))

en plus, j'ai une popup qui surgit et qui indique : "si cette popup s'affiche, ca veut dire que 01net a tord de ne pas faire confiance à l'open source"
???

--
Linux ou Windows ? La liberté du loup ou le collier du chien ?

Firefox 0.9.3 en francais

Posté par opensource () le 17/08/2004 à 08:27. (lien). Évalué à 1.

Firefox 0.9.3 en francais --> http://www.firefox.fr(...)

Search plugins: http://firefox.fr(...)

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1695s (dont 0.0478 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !