mardi 27 novembre 2007

Mozilla Firefox 2.0.0.10 est sorti

Mozilla Corporation a publié Mozilla Firefox 2.0.0.10, corrigeant trois trous de sécurité dans le second navigateur le plus populaire au monde. Les trois failles, qui sont détaillées dans la section Firefox 2.0.0.10 de la page des alertes de sécurité de la fondation Mozilla, sont considérés comme d’impact élevé par Mozilla, ce qui est le second niveau le plus sérieux des quatre niveaux de vulnérabilité.

Le premier bogue est une faille cross-site scripting dans le modèle d’URI jar:, qui peut permettre à un attaquant de voler des informations privées (une démonstration de faisabilité a été publiée démontrant comment les contacts des utilisateurs de Gmail connectés peuvent être volés). Firefox 2.0.0.10 corrige aussi trois bogues de stabilité, qui pourraient être exploités pour corrompre la mémoire et potentiellement exécuter du code arbitraire. Le dernier problème concerne une concurrence critique lorsqu’est initialisé la propriété window.location, ce qui pourrait être utilisé pour imiter une en-tête HTTP Referer.

La plupart des utilisateurs actuels de Firefox recevront le 2.0.0.10 par le système de mise à jour logicielle incorporé au navigateur ou le mécanisme de mise à niveau de leur système d’exploitation. La version peut être aussi téléchargée depuis la page produit de Mozilla Firefox. Davantage d’informations sur la nouvelle version peuvent être trouvés dans notes de diffusion de Firefox 2.0.0.10.

Toutes les vulnérabilités corrigées dans Firefox 2.0.0.10 sont aussi présentes dans la dernière version 1.1.6 de SeaMonkey. Une mise à jour équivalente 1.1.7 pour le navigateur mené par la communauté est attendue sous peu.