Firefox mest sårbar

[Ståle]

De får vel ikke penger fra Firefox lenger.

[Smif]

Kan vi kutte ut det "kjøpt-og-betalt" snakket hele tida her på HW! Er selvfølgelig ingen som sponser hw for å poste en artikkel, det vi heller kan stille spørsmålstegn ved er kildekritikken dems.

 

I agurktider er greit med agurknytt, ellers hadde det ikke blitt noe. (eller de må finne opp noe på egenhånd, eller skrive utdypende artikler om noe annet enn nyheter, guider ol.) Men disse agurkene er i det lange løp til alles "fordel". Nå var det MS, sist var det sikkert FF. Og var noen agurker om Opera i betaen til betaen til en tenkt versjon en gang i framtida. Noe som er 100% bedre å lese om enn ingenting.

 

Men MS betaler iallefall ingen for denne saken.

 

Kos

Endret 16. desember 2008 av Smif

[fossxplorer]

Teiteste artikkelen jeg har lest. "I tillegg skal ikke programmet kunne oppdateres sentralt via Microsoft SMS eller WSUS." ??

Man kan rulle ut oppdateringer på andre måter enn via MS SMS vel.

IE er den mest sårbare applikasjonen jeg har sett noen sinne. Både i jobb og privat sammenheng. Tusenvis av mal og spyware, hijacking, virus etc angriper ofte IE og MS Messenger klienten.

[tom waits for alice]

Det er en forvrengning som har skjedd på veien fra den opprinnelige kilden til Hardware. I originalen heter det:

 

The application cannot be automatically and centrally updated via free Enterprise tools such as Microsoft SMS & WSUS.

Min understrekning. De sier altså ikke at det må være Microsoft sine verktøy.

 

Geir

[tom waits for alice]

IE er den mest sårbare applikasjonen jeg har sett noen sinne. Både i jobb og privat sammenheng. Tusenvis av mal og spyware, hijacking, virus etc angriper ofte IE og MS Messenger klienten.

Hvis du skulle skrive en trojaner eller lignende: Hva ville du skrevet den for? Er det ikke rimelig å anta at det ville være for den plattformen som hadde flest potensielle ofre? Det vil si IE under Windows. Hvis (hypotetisk antagelse) 70-80% av alle brukere i verden hadde OSX og Safari, hvor ville vi sett mest angrep?

 

Så kan vi diskutere om noen nettlesere er mindre sårbare rent teknisk, men det er et annet problem. Tallene fra NIST og Secunia som er referert tidligere i tråden tyder ikke på at FF er mindre sårbar enn IE. Det er bare færre som bryr seg om å utnytte disse sårbarhetene.

 

I så måte skal kanskje FF-brukerne være glad for at det ikke er verdens mest brukte nettleser...

 

Geir

[Smif]

...

Så kan vi diskutere om noen nettlesere er mindre sårbare rent teknisk, men det er et annet problem. Tallene fra NIST og Secunia som er referert tidligere i tråden tyder ikke på at FF er mindre sårbar enn IE. Det er bare færre som bryr seg om å utnytte disse sårbarhetene.

...

Mest teknisk sikker kan diskuteres ja. Men sikrest i praksis er FF! Uansett hvordan man vender på det er det dette som betyr noe. Og nettopp fordi det er mindre populært å prøve seg på den. Og ja, det er vi alle glade for.

Det aller beste er altså den ingen har hørt om. Opera er også liten nok til å slippe det meste.

Endret 16. desember 2008 av Smif

[sinnaelgen]

det var også noe annet merkelig med artikkelen eller diskusjonen her.

 

etter at jeg måtte reparere/legge inn AVG på nytt for at den skulle oppdatere antivirus listen så tokk plutselig maskina mi omstart da jeg skulle lese alle innleggene her.

 

skal man også definere det som en sikkerhetsrisiko ( eller er det kanskje omvendt ) ?

 

 

det som da er bra med FF er at den husker hvor jeg var når den ble starte opp igjen.

har ikke hørt IE ( elle andre nettlesere ) har noe lignende selv om jeg mistenker at opera har det

Endret 16. desember 2008 av elg-elg123

[Langbein]

det som da er bra med FF er at den husker hvor jeg var når den ble starte opp igjen.

har ikke hørt IE ( elle andre nettlesere ) har noe lignende selv om jeg mistenker at opera har det

Opera var nok først ute ja, uten at det er så relevant i denne sammenheng.

 

Føler litt som i South Park-episoden hvor General Disarray (han lille medhjelperen til Captain Chaos) hele tiden sier: "Simpson did it!". Litt sånn er det vel med nettlesere også, nesten uansett hvilken funksjon vi snakker om så "Opera did it"

Endret 16. desember 2008 av Langbein

[Ståle]

Opera har det selvfølgelig.

[cmyrland]

offfff... Jeg blir så oppgitt. Det er da for tusan BRA at bugs blir rapportert og fikset, i forhold til at de blir rapportert og IKKE fikset som er tilfellet hos visse andre...

 

Og når det er sagt, jeg skjønner ikke at sysadminer GIDDER å kjøre så ukontrollerbare systemer som Windows.. Det finnes så mye enklere løsninger.. Men de må vel føle at de "gjør jobben sin" og har rett til å heve lønna si... Hadde de brukt et GNU/Linux-system kunne jo hele ukas jobb vært gjort på noen få minutter mandagsmorran..

[Theo343]

tror ikke det med drift/admin var en helt kvalifisert uttale filthpig... *oppgitt*

Endret 16. desember 2008 av Theo343

[sinnaelgen]

offfff... Jeg blir så oppgitt. Det er da for tusan BRA at bugs blir rapportert og fikset, i forhold til at de blir rapportert og IKKE fikset som er tilfellet hos visse andre...

 

Og når det er sagt, jeg skjønner ikke at sysadminer GIDDER å kjøre så ukontrollerbare systemer som Windows.. Det finnes så mye enklere løsninger.. Men de må vel føle at de "gjør jobben sin" og har rett til å heve lønna si... Hadde de brukt et GNU/Linux-system kunne jo hele ukas jobb vært gjort på noen få minutter mandagsmorran..

 

og du tror at det passer for alle ?

nå er da ikke linux nødvendigvis så enkelt som mange skal ha det til

[Puke Nukem]

Hmm... Noen tvilsomme kriterier ja...

[siDDis]

og du tror at det passer for alle ?

nå er da ikke linux nødvendigvis så enkelt som mange skal ha det til

Kvifor ikkje?

Istadenfor å leite meg fram i ein treig GUI så skriver eg eit par kommandoer. Dette blir enda betre når eg faktisk kan kopiere kommandoane lett til andre PCer.

I Windows må du som oftast gjere den same GUI prosessen om og om igjen.

 

Kva med å drepe prosesser som har hengt seg i Windows? Kva med å justere IO load balancing på Windows? Kva med å justere ein windows server basert på tekst kommandoer(f.eks så kan ein justere ein linux server frå dei fleste mobiltelefoner idag)? Det finnes så mange ting som Linux er rett og slett mykje meir enklare enn Windows.

[Ståle]

Det kommer jo ny konsoll til windows 7, som likner litt mer på linux. men det er nok lenge igjen til den blr bra.

[Syar-2003]

Problemet med FF er alle tilleggene som man ikke oppdaterer/vedlikeholder.

 

Et annet problem for "alle" nettlesere er browser plugins fra bla adobe , java , samt andre tillegg.

 

Kan jo lese hva sikkerhets eksperten Mikko Hyppönen fra F-Secure mener er tryggeste browser. Her belyses også en stygg trojaner som nylig er dukket opp for FF .

http://www.digi.no/php/art.php?id=798049

 

 

Edit:

Det er en update av java 6 build 11 b03 som også nettop har kommet.

Anbefaler alle som har slått av jusched via msconfig (som ikke er så lurt) å oppdatere hos java.com.

 

Security issues som er håndtert i 11 b03 er :

 

244986

The Java Runtime Environment creates temporary files with insufficiently random names. This may be leveraged to write JAR files which may then be loaded as untrusted applets and Java Web Start applications to access and provide services from localhost and hence steal cookies.

 

244987

Multiple buffer overflow vulnerabilities in the Java Runtime Environment (JRE) image processing code (CR 6726779), its handling of GIF images (CR 6766136) as well as its font processing (CRs 6733336 and 6751322) may allow an untrusted applet or Java Web Start application to elevate its privileges. For example, an untrusted applet may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted applet.

 

 

244988

Multiple security vulnerabilities exist in Java Web Start and Java Plug-in that may allow escalation of privileges. These include:

CR 6727079: A vulnerability in the Java Runtime Environment (JRE) may allow an untrusted Java Web Start application to make network connections to hosts other than the host that the application is downloaded from.

CR 6727081: A vulnerability in the Java Runtime Environment with launching Java Web Start applications may allow an untrusted Java Web Start application to escalate privileges. For example, an untrusted application may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted application.

CR 6694892: A vulnerability in Java Web Start may allow certain trusted operations to be performed, such as modifying system properties.

CR 6727071: A vulnerability in the Java Runtime Environment may allow an untrusted Java Web Start application to determine the location of the Java Web Start cache and the username of the user running the Java Web Start application.

CR 6707535: A vulnerability in Java Web Start and Java Plug-in may allow hidden code on a host to make network connections to that host and to hijack HTTP sessions using cookies stored in the browser.

CR 6716217: A vulnerability in the Java Runtime Environment (JRE) with applet classloading may allow an untrusted applet to read arbitrary files on a system that the applet runs on and make network connections to hosts other than the host it was loaded from.

CR 6767668: A security vulnerability in the the Java Web Start BasicService allows untrusted applications that are downloaded from another system to request local files to be displayed by the browser of the user running the untrusted application.

 

 

244989

The Java Runtime Environment (JRE) "Java Update" mechanism does not check the digital signature of the JRE that it downloads. This may allow a malicious file to be downloaded and installed if the DNS information that the JRE uses when checking for updates is compromised.

 

 

244990

A buffer overflow vulnerability in the Java Runtime Environment (JRE) may allow an untrusted Java application that is launched through the command line to escalate privileges. For example, the untrusted Java application may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted Java application.

 

 

244991

A security vulnerability in the Java Runtime Environment (JRE) related to deserializing calendar objects may allow an untrusted applet or application to escalate privileges. For example, an untrusted applet may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted applet.

 

 

244992

A buffer overflow vulnerability in the Java Runtime Environment (JRE) with unpacking applets and Java Web Start applications using the "unpack200" JAR unpacking utility may allow an untrusted applet or application to escalate privileges. For example, an untrusted applet may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted applet.

A Buffer Overflow Vulnerability in the Java Runtime Environment (JRE) "Unpack200" JAR Unpacking Utility May Lead to Escalation of Privileges

 

 

245246

The UTF-8 (Unicode Transformation Format-8) decoder in the Java Runtime Environment (JRE) accepts encodings that are longer than the "shortest" form. This behavior is not a vulnerability in Java SE. However, it may be leveraged to exploit systems running software that relies on the JRE UTF-8 decoder to reject non-shortest form sequences. For example, non-shortest form sequences may be decoded into illegal URIs, which may then allow files that are not otherwise accessible to be read, if the URIs are not checked following UTF-8 decoding.

 

 

246266

A security vulnerability in the Java Runtime Environment (JRE) may allow an untrusted applet or application to list the contents of the home directory of the user running the applet or application.

 

 

246286

A vulnerability in how the Java Runtime Environment (JRE) handles certain RSA public keys may cause the JRE to consume an excessive amount of CPU resources. This may lead to a Denial of Service (DoS) condition on affected systems. Such keys could be provided by a remote client of an application.

 

246366

A security vulnerability in the Java Runtime Environment (JRE) with authenticating users through Kerberos may lead to a Denial of Service (DoS) to the system as a whole, due to excessive consumption of operating system resources.

Security vulnerabilities in the JAX-WS and JAXB packages in the Java Runtime Environment (JRE) where internal classes can be accessed may allow an untrusted applet or application to escalate privileges. For example, an untrusted applet may grant itself permissions to read and write local files or execute local applications that are accessible to the user running the untrusted applet.

 

246387

The Java Runtime Environment (JRE) allows code loaded from the local filesystem to access localhost. This may allow code that is maliciously placed on the local filesystem and then subsequently run, to have network access to localhost that would not otherwise be allowed if the code were loaded from a remote host. This may be leveraged to steal cookies and hijack sessions (for domains that map a name to the localhost).

Endret 16. desember 2008 av syar2003

[LoveAmiga]

og du tror at det passer for alle ?

nå er da ikke linux nødvendigvis så enkelt som mange skal ha det til

Kvifor ikkje?

Istadenfor å leite meg fram i ein treig GUI så skriver eg eit par kommandoer. Dette blir enda betre når eg faktisk kan kopiere kommandoane lett til andre PCer.

I Windows må du som oftast gjere den same GUI prosessen om og om igjen.

 

Kva med å drepe prosesser som har hengt seg i Windows? Kva med å justere IO load balancing på Windows? Kva med å justere ein windows server basert på tekst kommandoer(f.eks så kan ein justere ein linux server frå dei fleste mobiltelefoner idag)? Det finnes så mange ting som Linux er rett og slett mykje meir enklare enn Windows.

 

ja, og dette tror du fattern klarer?

[Stigma]

En annen ting som det står er tatt med er antallet rapporterte sikkerhetshull. Med den enorme professjonelle brukerbasen som FF har, synes jeg at det ikke er merkelig at mange sikkerhetshull blir rapportert. Det har nok mye å gjøre med at det er åpen programvare.

 

Ja, dette er latterilge kritterier. Det er som ofte de utvilkerene som neker å vedkjenne seg problemer som har de mest usikre programmene. På denne listen så kommer jo de selskapene som er mest åpen og progressiv i forhold til fiksing av sikkerhetsfeil som kommer værst ut.

 

Tenker med Apple programmer hadde komet særdeles godt ut på denne skalaen lol... for de har jo ikke bugs offisiellt =P (/sarkasme)

 

-Stigma

[Theo343]

og du tror at det passer for alle ?

nå er da ikke linux nødvendigvis så enkelt som mange skal ha det til

Kvifor ikkje?

Istadenfor å leite meg fram i ein treig GUI så skriver eg eit par kommandoer. Dette blir enda betre når eg faktisk kan kopiere kommandoane lett til andre PCer.

I Windows må du som oftast gjere den same GUI prosessen om og om igjen.

 

Kva med å drepe prosesser som har hengt seg i Windows? Kva med å justere IO load balancing på Windows? Kva med å justere ein windows server basert på tekst kommandoer(f.eks så kan ein justere ein linux server frå dei fleste mobiltelefoner idag)? Det finnes så mange ting som Linux er rett og slett mykje meir enklare enn Windows.

Selv på windows2000 og XP kunne man gjøre 97% i kommandogrensesnittet, hvis du ikke vet hvordan du gjør disse tingene så har du ikke jobbet mye med det.

 

Jeg har forholdt meg mest til kommandogrensesnitt i 15 år med windowsdrift, men har driftet mange andre plattformer i tillegg og var Novell mann før den tid og har jobbet div. med AIX, OS400 og Linux.

Endret 17. desember 2008 av Theo343

[siDDis]

Då spør eg deg, korleis killer du ein prosess i Windows.