Tom's Hardware > Actualités > Logiciels, jeux vidéos > Logiciels > Faille dans Firefox : la faute aux javascript

Faille dans Firefox : la faute aux javascript

15:10 - mardi 5 avril 2005 par Dr. Denis Rouvre - source: PcINpact

On l'apprend par la société spécialisée dans la sécurité Secunia, une faille dans plusieurs navigateurs Mozilla et Netscape vient d'être découverte. Vous êtes tous les jours plus nombreux à utiliser les produits Mozilla, dont le désormais célèbre Mozilla Firefox, et cette faille pourrait vous être préjudiciable. Celle-ci apparaît lors de l’utilisation de JavaScript. La faille permet à une personne distante de récupérer des données potentiellement sensibles chez la victime.

Parmis les logiciels vulnérables, on trouve :

Firefox 1.0.1
Firefox 1.0.2
Netscape 6.x et 7.x
Mozilla 1.7.6 et 1.7.3

D'autres versions de ces produits risquent également d'être affectées. Toutefois, vous pouvez tester si votre navigateur est suscesptible de contenir cette faille. Une page de test montre comment, il est possible de dérober 10ko de mémoire et de les afficher dans un tableau. En le testant, vous retrouver des traces consultées par vos soins il y a quelques temps.

Ce Proof of Concept inoffensif profite d’un bug dans le moteur de Javascript qui récupère de manière aléatoire des données dans la mémoire de l'ordinateur. Selon Secunia, il est recommandé de désactiver JavaScript en attendant que la faille soit comblée.

Tester votre navigateur

Commentaires

Ajouter un commentaire

sirius 05/04/2005 15:58

Masquer

c'est vraiment un nid a emmerde ces java script, pk on continu de les utiliser ?? y a vraiment rien de mieux ??

Gudule 05/04/2005 16:06

Masquer

Il va falloir jongler entre IE et Firefox en fonction des bugs, incompatibilité de site, ActiveX et failles maintenant.

Vive view link in IE (for firefox) et View link in Firefox (for IE mais il marche pas terrible)!

_xavier 05/04/2005 16:57

Masquer

Si Opera est pas concerné, c'est qd même un bug de Firefox... Opera a anticipé le bug, ou bien il ont un moteur Javascript spécial ?

cyrano 05/04/2005 17:07

Masquer

chacun à son moteur, donc chacun à ses bugs. En loccurence, les infos qui sortent ressemble à des infos de compilation pas à des donnnées personnelles.

_xavier 05/04/2005 17:09

Masquer

Dc c'est bien un bug à imputer à la fondation Mozilla ! le titre de l'article ne me semble pas très adapté....

drouvre 05/04/2005 17:11

Masquer

si, il me plait bien...

Dagobert_78 05/04/2005 17:13

Masquer

Denis R doit être Pro-Mozilla, faut le comprendre le petit. Un bug dans son logiciel fétiche, nnnnaaaaaaaaannn :cry:

drouvre 05/04/2005 17:15

Masquer

oué, enfin " Faille dans Firefox", c'est pas forcément sympa pour Mozilla, hein

VX911 05/04/2005 17:20

Masquer

J'entend déjà le bruit distant des pro-M$ qui accourent au grand galop [:kryten]

drouvre 05/04/2005 17:22

Masquer

oué [:kryten]

moi j'utilise indifféremment FF et IE [:eraser17]

GeoVah 05/04/2005 17:22

Masquer

Chez moi ca marche pô j'ai que des XXXXXXXX...
Ha oui c'est vrai, j'utilise le daily build :-)

Donc c'est déja corriger mais encore dans une version stable
https://bugzilla.mozilla.org/show_bug.cgi?id=288688

VX911 05/04/2005 17:24

Masquer

Me 2, j'utilise IE et FF - avec néanmoins une ptite préférence pour FF (et sa fonction 'Copy Image Location' :love: )

drouvre 05/04/2005 17:25

Masquer

ouais, grâve, ou encore adblock et autocopy

GeoVah 05/04/2005 17:28

Masquer

autocopy c'est bien mais bizarrement ce n'est utilise que sous windows....

colosseb 05/04/2005 17:37

Masquer

ouaip pas top ce test, ça m'a planté firefox 1.0

FAiRLiGHT 05/04/2005 18:42

Masquer

Failleurfoske

yqnn 05/04/2005 18:49

Masquer

Aucun problème sous Safari ^^

Darck 05/04/2005 19:14

Masquer

[Troll]
Pas de problème sous Lynx.
[/Troll]

Quezako 05/04/2005 19:45

Masquer

Darck a écrit :

[Troll]
Pas de problème sous Lynx.
[/Troll]

Pas de problème avec IE 1.0

Quezako 05/04/2005 19:50

Masquer

Je suis partagé concernant Sécunia.
D'un côté, je les admire car grâce à eux, de nombreuses failles sont trouvées et corrigées dans la nuit.
D'un autre côté, je sais qu'ils font ça avant tout pour se faire connaître et cela donne des failles de plus en plus ridicules qui ne concernent plus directement FF, mais tout ce qui l'entoure...

Cela dit, ça marche puisque de plus en plus de personne savent qui est Sécunia...

lionnel1 05/04/2005 20:07

Masquer

pomper 10K de ram au hasard, les pirates vont aller vraiment loin, vraiment pathétique

antp 05/04/2005 20:17

Masquer

C'est clair que le résultat n'est absolument pas exploitable...

Max_Headroom 05/04/2005 20:37

Masquer

VX911 a écrit :

J'entend déjà le bruit distant des pro-M$ qui accourent au grand galop [:kryten]

Sujet : Faille dans Firefox : la faute aux javascript

QUOI!!! J'AI BIEN LU!!!! [:tequila]

yoconono 05/04/2005 22:25

Masquer

quezako a écrit :

Je les trouve plutot objectif justement :

l'alerte sécunia :
http://secunia.com/advisories/14820/

Elle est bien taggé en moderately critical et le terme "potentially" informe bien qu'aucune fuite d'information via cette faille n'a été enregistré.

Le tout est de lire totalement ces alertes (et non pas des morceaux comme le font certains - je ne cible en aucun cas le newser même si il travaille sur un effet d'annonce dans son énoncé ) et de bien comprendre les impacts utilisateurs.

Bref du bruit pour rien, mais les failles réellement critique ff sont rare (et j'espere que ca va continuer, mais je suis confiant) et rapidement corrigées. Il est donc logique que beaucoup de monde soit à l'affut de la moindre annonce (à l'instar des failles IE)

drouvre 05/04/2005 22:32

Masquer

squall 05/04/2005 23:22

Masquer

Ni IE ni FF ! Maxthon avec download control

Igor d Hossegor 05/04/2005 23:37

Masquer

Maxthon = bugs & failles de IE

massiliattak 05/04/2005 23:40

Masquer

Bho... m'en fous...j'y tiens à mon firefox... et pis d'ailleurs... le problème est déjà résolu dans la RC 1.03, manque plus que la final stable ver et puis tout le monde sera content ^^.
Pour ceux qui veulent: http://blogzinet.free.fr/index.php [...] x-103-rc-2

sr17 06/04/2005 00:41

Masquer

Soyons sérieux, récupérer 10 ko de mémoire au hasard ça va pas pêter bien loin. Dans 99,99% des cas vous tomberez sur de simples résidus de pages HTML.

Avec un certain autre navigateur c'est la plupart du temps des "executions de code à distance" auquel nous avons droit. Et la c'est royal vous récupérez ce que vous voulez. Vous pouvez même implanter un... spyware pour récuperer son numéro de CB...

Tout ça pour dire qu'il ne faut pas confondre petite et grosse faille.

sr17 06/04/2005 00:45

Masquer

massiliattak a écrit :

Au moins chez eux les fixes ne trainent pas.