jeudi 8 juillet 2004

Firefox 0.9.2, Thunderbird 0.7.2 et Mozilla 1.7.1 arrivent bientôt

Des branches ont été créées pour trois des dernières versions de Mozilla.org, afin de corriger un bogue du manipulateur de protocole externe de Windows. Le correctif implique la désactivation du manipulateur de protocole shell:, qui a été découvert comme permettant aux pages de lancer des exécutables sur Windows par l’intermédiaire d’un lien. Des compilations devraient officiellement être disponibles rapidement et il y aura aussi un XPI proposé pour désactiver la préférence. Alternativement, vous pouvez mettre la préférence « network.protocol-handler.external.shell » dans about:config sur « false » pour également supprimer l’exploit (Cela ne l’effectuera que dans votre profil en cours, si vous avez plus d’un profil, ou pourriez en créer plus, vous devvriez utiliser le XPI ou l’exemplaire mis à jour).

Davantage d’informations sur l’exploit peut être trouvé dans cette contribution à la liste de diffusion Full Disclosure.

Mise à jour : Le XPI pour désactiver la préférence est maintenant disponible.

Une autre mise à jour : mozilla.org a publié un document sur ce problème.

Encore une autre mise à jour : Il y a un article d’eWeek sur l’exploit aussi bien qu’une discussion chez Slashdot. Le rapport bogue désormais public qui couvre la vulnérabilité shell: est le bogue 250180 (pas de commentaires inutiles SVP). Certains peuvent trouver qu’il est remarquable qu’un patch a été publié moins de quarante-huit heures après que ce bogue fut enregistré.

Encore une autre mise à jour : Si vous n’utilisez pas Windows, vous n’êtes pas à risque de par ce bogue. Si vous utilisez Windows, allez à www.mccanless.us/mozilla/mozilla_bugs.htm pour voir si vous êtes vulnérable.