Dos actualizaciones críticas para Firefox 2.x y 3.x
Dos actualizaciones críticas han sido anunciadas por Mozilla para Firefox 2.x y el nuevo 3.x, así como para otros productos. Sin embargo, no están disponibles para todos ellos a pesar del anuncio. Una tercera actualización es solo para usuarios de Mac OS, y únicamente afecta a Firefox 3.0.
Uno de los avisos de seguridad, alude a un error detectado a través del Zero Day Initiative (ZDI), un emprendimiento de TippingPoint, empresa perteneciente a 3Com, que premia a quienes encuentren vulnerabilidades en programas de uso habitual, siempre que se ceda en exclusiva los detalles de dicha vulnerabilidad. Estos fallos no son hechos públicos hasta que la empresa involucrada los corrige.
El problema parece ser un desbordamiento de stack (stack overflow) al manejarse estructuras de hojas de estilo. La pila (stack), es el espacio de memoria reservada para almacenar las direcciones de retorno en la ejecución de cada rutina y otra información importante para la ejecución de los programas. Un fallo de este tipo, puede ser utilizado para la ejecución arbitraria de código no deseado.
Se dice que el problema ha sido solucionado en Firefox 3.0.1, Firefox 2.0.0.16, Thunderbird 2.0.0.16 y SeaMonkey 1.1.11.
El segundo aviso, describe una serie de vulnerabilidades relacionadas con el manejo de los URIs que afectan a Firefox 2 y Firefox 3.
URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario@dominio, etc.). Un URL (Uniform Resource Locators), es un URI que muestra la localización explícita de un recurso (página, imagen, etc.).
El problema en este caso, puede permitir a un atacante eludir el control de los archivos chrome utilizados en Firefox y otros productos de Mozilla. Este tipo de archivo contiene todos los componentes de la interfase de usuario que se encuentran fuera del contenido del área de la ventana, es decir barras de herramientas, menús, barras de progreso y títulos de las ventanas, y está creado en XUL, un lenguaje XML creado para facilitar y acelerar el desarrollo del navegador Mozilla.
Algunos de estos problemas, están relacionados con la famosa vulnerabilidad de Safari conocida como "Carpet Bombing". Es decir, si un usuario tiene instalado Safari y Firefox en el mismo equipo, ello puede ser utilizado para un ataque.
La actualización resuelve el problema en Firefox 2.0.0.16 y 3.0.1.
Los detalles de los errores no serán revelados hasta dentro de unos días, para darle a los usuarios la oportunidad de actualizarse. Sin embargo, no son pocos lo que se quejan que algunos de los productos anunciados como no vulnerables, aún no están disponibles. Por ejemplo, al momento de publicar esta alerta, algunos usuarios de Firefox 3.0 no tienen habilitada la opción para actualizarse a la versión 3.0.0.1 de forma automática, y deben hacerlo manualmente.
Peor están quienes utilizan Thunderbird, ya que aún no pueden acceder a la versión 2.0.0.16 (de hecho, la última versión es la 2.0.0.14).
Últimas versiones NO vulnerables:
- Firefox 3.0.1
- Firefox 2.0.0.16
- Thunderbird 2.0.0.16
- SeaMonkey 1.1.11
Descarga de Firefox 2.0.0.16 en español:
http://releases.mozilla.org/pub/mozilla.org/firefox/releases/2.0.0.16/win32/es-ES/Descarga de Firefox 3.0.1 en español:
http://releases.mozilla.org/pub/mozilla.org/firefox/releases/latest-3.0/win32/es-ES/Referencias:
MFSA 2008-36 Crash with malformed GIF file on Mac OS X
http://www.mozilla.org/security/announce/2008/mfsa2008-36.htmlMFSA 2008-35 Command-line URLs launch multiple tabs when Firefox not running
http://www.mozilla.org/security/announce/2008/mfsa2008-35.htmlMFSA 2008-34 Remote code execution by overflowing CSS reference counter
http://www.mozilla.org/security/announce/2008/mfsa2008-34.htmlMás información:
Known Vulnerabilities in Mozilla Products
http://www.mozilla.org/projects/security/known-vulnerabilities.htmlMozilla.org Security Center
http://www.mozilla.org/security/
Autor