PDA

Ver la Versión Completa : Ejecución remota de código en Firefox 1.0.3



chuzo
08-may-2005, 20:08
Mozilla Firefox es propenso a una vulnerabilidad de la seguridad, que podría tener como resultado la ejecución de código arbitrario sin requerir la interacción del usuario.

El análisis inicial de la vulnerabilidad, revela que la misma puede llevar al ocultamiento de información en la barra de estado del navegador, y un script arbitrario puede obtener privilegios de 'UniversalXPConnect' (permite ejecutar o instalar programas).

Se ha observado que este asunto podría ser explotado para obtener de forma remota acciones con privilegios en el equipo vulnerable, en el contexto del usuario que ejecuta el navegador afectado.

La vulnerabilidad afecta todas las versiones de Mozilla Firefox hasta la 1.0.3 inclusive.

Se han publicado exploits para esta vulnerabilidad, por lo que el riesgo para quienes utilizan Firefox es grande.

Los siguientes ejemplos, publicados en Bugtraq, han sido modificados para quitar la funcionalidad potencialmente maliciosa del ejemplo original.

www.securityfocus.com/data/vulnerabilities/exploits/yourinfo.zip
www.securityfocus.com/data/vulnerabilities/exploits/cheese.txt

Soluciones: No existen soluciones al momento de la primera publicación de este aviso.

Se recomienda deshabilitar JavaScript:

- En Firefox, seleccionar el menú de Herramientas, Opciones, Opciones de Web (Web Features), desmarcar la casilla "Habilitar JavaScript" (Enable JavaScript).

Referencias:

Identificado en BugTraq como ID 13544 (http://www.securityfocus.com/bid/13544/)

firefox 1.0.3 spoof+auto dl (http://www.securityfocus.com/archive/1/397747)

Mozilla Firefox Install Method Remote Arbitrary Code Execution Vulnerability (http://www.securityfocus.com/bid/13544)

Fuente: VSAntivirus (http://www.vsantivirus.com/vul-firefox-070505.htm)