Ejecución de código en Mozilla Firefox. No existe parche oficial disponible

Se ha publicado un exploit para Mozila Firefox 3.5 que permite la ejecución de código si un usuario visita una página web especialmente manipulada. No existe parche oficial disponible. HTML malicioso de ejemplo en http://milw0rm.com/exploits/9137

[#9 nandoddi]

La noticia es errónea, porque además de que existe un parche, existía uno antes de ser publicado el exploit:

http://www.zonafirefox.net/2009/07/la-vulnerabilidad-en-firefox-35-ya-estaba-resuelta.html

[#3 tollendo]

#2 El exploit ha sido publicado sin previo aviso, con todo lujo de detalles y listo para ser usado en entornos Windows. Aunque no es necesario una excesiva modificación para que pueda ejecutarse código en cualquier otra plataforma.

[#4 Fingolfin]

Habiendose anunciado sin previo aviso y con exploit incluido, lo raro sería que ya hubiese parche...

[#10 albandy]

Tal como dice #9 la noticia es errónea ya que existe el parche desde hace tiempo, además de que sea exclusiva de la versión para Windows.
Para descartar he probado el exploit bajo Ubuntu 64 bits y evidentemente no ha pasado nada.

[#6 Desactivado]

#5 "..Se recomienda desactivar JavaScript en Firefox o el uso de navegadores alternativos (no Internet Explorer puesto que en estos momentos también sufre de varios problemas de seguridad no resueltos).
http://www.hispasec.com/unaaldia/3917

[#11 kadmon]

Hay que ver lo que os ciega el "cariño" hacia firefox que os fiáis más de una sola fuente que de 10 que la contradicen, y por cariño quise decir fanatismo: No hay parche para FF3.5 y sí para FF3.6.

" Firefox 3.5 tiene una grave vulnerabilidad en JavaScript, más precisamente en su compilador JIT, que permite el ataque por parte de un exploit (al momento de escribir esto ya disponible en la web) con el cual es posible ejecutar código.

Resulta increíble que Mozilla ya conociera de la existencia de este problema al momento de lanzar Firefox 3.5, pero aún así han lanzado el navegador y tenían programada una actualización para fin de Julio. Actualización que obviamente será adelantada para los próximos días. "

Total, que se conoce el fallo desde antes de lanzar FF3.5 pero aún así se lanza (que responsables que son) y se programa una actualización para finales de Julio.

Varias webs, entre ellas hispasec que es bastante seria a mi entender, dicen que existe esa vulnerabilidad y UNA, repito UNA sola web dice que esa vulnerabilidad ya está solucionada mostrando este "parche": https://bug503286.bugzilla.mozilla.org/attachment.cgi?id=388437 y vosotros vais y creéis a esa única fuente votando errónea esta noticia.

Bien, corazones, amigos míos iros A LA PUTA MIERDA por fomentar la inseguridad con vuestro fanatismo porque no es más que eso, puro y duro fanatismo, al no dar publicidad a este fallo para que la gente profana en el tema se entere y sepa que hacer dado que menéame es visitado por muchas personas de todo tipo.

Y si todavía seguís sin creerlo daros con un canto en los dientes y visitad y leedlo en el propio blog de Mozilla: http://blog.mozilla.com/security/2009/07/14/critical-javascript-vulnerability-in-firefox-35/ porque un error lo tiene cualquier pero después de que tantos blogs y webs avisasen del fallo que vosotros creáis a una sola fuente no tiene nombre, al igual es que no contrastáis lo que decís.

P.D: un bug está resuelto cuando el navegador se actualiza para corregir ese fallo y no mediante procesos manuales de haz esto, desactiva lo otro, etc. porque eso solo son parches temporales y mayoría de la gente no los va a aplicar porque simplemente no sabe.

[#8 Chiparg]

Les recomiendo el agregado NOSCRIPT a quienes quieran estar a salvo de este tipo de ataques. Aparece un aviso debajo de cada página que tiene scripts, y uno decide si aceptarlos o no.
Es un poco molesto estar permitiendo scripts y elementos sospechosos, pero en realidad hay que hacerlo solo cuando confiamos en el sitio.
(https://addons.mozilla.org/es-ES/firefox/addon/722)

[#1 Desactivado]

A ver cuánto tardan en solventarlo, no pasen 18 meses como con el último fallo, que estos de Micr....oh wait....

[#7 linuxadmiral]

pfff comienzan los fallos del firefox3.5 , pero seguro que tendran solucion pronto no como este como sellama IE hehehehe

[#5 Desactivado]

Si este exploit fuese de IE... ya estaría en portada..

[#2 drjackZon]

Me gusta que el aviso tenga fecha de mañana. Esto es ser rápido en anunciarlo.

De todas formas, el fallo es Firefox sobre Windows:

El exploit ha sido publicado sin previo aviso, con todo lujo de detalles y listo para ser usado en entornos Windows.