Firefox introduce una grave vulnerabilidad con sus últimos parches

El día 20 de julio Mozilla anunciaba la nueva versión 3.6.7 y 3.5.11 de su navegador, que corregía 15 vulnerabilidades en 14 boletines de seguridad diferentes. Tres días más tarde ya está disponible la versión 3.6.8 para solucionar una vulnerabilidad introducida al corregir las anteriores.

La versión 3.6.8 de Firefox se ha tenido que lanzar con cierta urgencia (solo tres días después de publicar la versión 3.6.7) para corregir una vulnerabilidad que permite la ejecución de código arbitrario. La solución introducida en la versión 3.6.7 para corregir un problema de manejo de plugins, introducía un fallo que, bajo ciertas circunstancias, podría producir un desbordamiento de memoria intermedia. Esto podría permitir la ejecución de código arbitrario.

Para solucionarlo han publicado la versión 3.6.8 y el boletín MFSA2010-48 describiendo el fallo.

La versión 3.6.7 ha sido por tanto bastante efímera, aunque no es la primera vez que ocurre con el navegador. La versión 3.6.4 apareció el 22 de junio, y desde entonces en menos de un mes se han publicado varias subversiones.

En la versión 3.6.4 los desarrolladores añadieron cierta protección contra los "cuelgues" de algunos plugins, para que no hicieran que todo el navegador dejase de responder. Para ello añadieron un "timeout": si el plugin no respondía en ese tiempo, Firefox tomaba el control terminando la tarea. Así se evitaba que el cuelgue arrastrase a todo el navegador.

Sin embargo se dieron cuenta de que el "timeout" introducido era muy corto. Solo 10 segundos. Algunos plugins, como Flash, pueden no responder durante ese tiempo en algunas máquinas sin que signifique que el complemento haya dejado de responder necesariamente. En muy pocos días, se produjo una "travesía" hasta la versión 3.6.6 para corregir ese fallo, y aumentar el "timeout" hasta unos 45 segundos.

Más Información:

The Adobe Flash plugin has crashed

http://support.mozilla.com/en-US/kb/The+Adobe+Flash+plugin+has+crashed

Mozilla Foundation Security Advisory 2010-48

http://www.mozilla.org/security/announce/2010/mfsa2010-48.html

Firefox y la (in)seguridad de sus extensiones y complementos

Vuelve a ocurrir. Un plugin para el navegador Firefox, alojado en la página oficial de Mozilla, estaba siendo utilizado para robar las contraseñas de los usuarios que lo utilizaran. También se ha hecho público que otro plugin contenía una grave vulnerabilidad que permitía la ejecución de código en el navegador. Es la cuarta vez que Mozilla sufre un incidente de seguridad relacionado con sus extensiones y complementos.

Uno de los mayores atractivos de Mozilla Firefox es la capacidad de extender su funcionalidad casi indefinidamente gracias a las extensiones. Existen miles, muy útiles, que han popularizado el navegador y lo han convertido además en una herramienta muy potente. Pero en esta ventaja radica también una de sus debilidades: la facilidad por parte de terceros para crear extensiones y alojarlas en la web oficial de Mozilla se está convirtiendo en un problema para los desarrolladores, que de nuevo han alojado una extensión peligrosa en addons.mozilla.org.

Mozilla Sniffer, una extensión disponible desde el 6 de junio en la página oficial, enviaba las contraseñas que el usuario introducía en los formularios a un sitio remoto, con el fin de robarlas. Era publicitada como una modificación del plugin TamperData. El problema ha sido descubierto el 12 de julio, y en ese espacio de tiempo ha sido descargado unas 1.800 veces. Mozilla alega que se encontraba en un estado "experimental", pero el problema va más allá.

En mayo de 2008 la Fundación Mozilla distribuyó por error el plugin del idioma vietnamita infectado con adware. Aunque prometió literalmente "analizar más a menudo sus archivos para evitar que esto vuelva a ocurrir", volvió a ocurrir en febrero de 2010. La fundación Mozilla informaba de que dos complementos "experimentales" para el navegador Firefox contenían troyanos para Windows. Entonces escribíamos en una-al-día: "hoy en día las firmas pueden tardar meses, como ha sido el caso, en ser añadidas y poder detectar (de forma estática) un archivo infectado. No sabemos qué métodos usa Mozilla para analizar sus archivos, pero el añadir nuevos métodos antivirus puede mitigar el problema aunque no tiene por qué solucionarlo."

Efectivamente, no lo ha solucionado. El problema con Mozilla Sniffer y por lo que ha pasado desapercibido para los antivirus, es que se trataba simplemente de una extensión programada específicamente para robar contraseñas silenciosamente. Solo una revisión pormenorizada del código, sin automatismos, hubiese revelado la funcionalidad oculta. Esto ataca directamente a la raíz del problema "de toda la vida" de la detección vírica: ¿qué es "malware"? Cualquier cosa programada con malas intenciones sin hacer partícipe al usuario. Desde luego, el malware no es exclusivamente "lo que detectan los antivirus", idea que un marketing agresivo y a veces irresponsable de las casas antivirus han incrustado en el usuario medio. Si Mozilla solo analiza sus complementos con antivirus asiduamente, estaba mitigando el problema, pero no lo solucionaba: detectará lo conocido y dejará pasar cualquier funcionalidad oculta específicamente diseñada, como ha ocurrido.

En defensa de Mozilla hay que decir que en su repositorio deja claro que ciertas extensiones no han sido verificadas, o que el autor es desconocido... en estos casos se delega en el usuario la responsabilidad de utilizar el código en entornos de producción. Pero todos sabemos que trasladar la responsabilidad al usuario no siempre acarrea buenos resultados.

Además, se ha detectado que el add-on CoolPreviews, contenía una vulnerabilidad que permitía la ejecución de código. La versión vulnerable ha sido descargada 177.000 veces.

Mozilla ha bloqueado estas extensiones, y anuncia que mejorará su proceso de validación y publicación, reconociendo implícitamente que se están cometiendo errores. A partir de ahora (de nuevo, a posteriori) dice que revisarán exhaustivamente el código antes de poner a disposición de todos una extensión en su web.


Más Información:

Add-on security vulnerability announcement
http://blog.mozilla.com/addons/2010/07/13/add-on-security-announcement/

07/02/2010 Mozilla distribuye (otra vez) plugins para Firefox infectados
con malware desde el sitio oficial
http://www.hispasec.com/unaaldia/4124

Via Hispasec

Mozilla corrige la vulnerabilidad para Firefox presentada en el Pwm2Own 2010

Mozilla ha publicado una actualización de seguridad para el navegador Firefox que corrige una vulnerabilidad que podría permitir a un atacante remoto ejecutar código arbitrario.

La vulnerabilidad se publicó en el Pwm2Own, un concurso dentro del contexto de la conferencia de seguridad CanSecWest, donde se compite por ser el primero en explotar los principales navegadores y teléfonos móviles.

Un investigador alemán de MWR InfoSecurity llamado Nils encontró una vulnerabilidad en Firefox concretamente un fallo de corrupción de memoria al mover nodos de un árbol DOM entre documentos.

Nils encontró una forma de mover un nodo reteniendo el ámbito anterior y provocando que el objeto fuese liberado erróneamente en cierto instante durante la recolección de memoria, posteriormente se usa el puntero lo que posibilita la ejecución de código arbitrario.

Nils también fue el mismo que gano los premios correspondientes a Internet Explorer, Firefox y Safari de la edición del Pwm2Own de 2009.

La vulnerabilidad con CVE-2010-1121 ha sido corregida en la versión 3.6.3. Mozilla ha informado que aunque la vulnerabilidad solo está presente en la rama 3.6 publicará un parche para la 3.5 ya que podría llegar a ser factible, mediante una forma alternativa a la presentada, explotar la vulnerabilidad.

Más Información:

Re-use of freed object due to scope confusion - MSFA-2010-25

http://www.mozilla.org/security/announce/2010/mfsa2010-25.html