Mozilla je u utorak zatvorila 12 slabih tačaka u Firefox-u, uključujući drugu slabu tačku za „binary planting“ problem u Windowsu koji su istraživači otkrili ranije ove godine.
Dve trećine slabih tačaka koje su zakrpljene u utorak su označene kao kritične Å¡to je najviÅ¡i stepen pretnje koji Mozilla primenjuje. Od preostalih slabih tačaka dve su ocenjene kao visoko kritične i po jedna umerena i nisko kritična. Među slabim tačkama se nalazi i druga Firefox-ova „binary planting“ slaba tačka. Neki sigurnosni istraživači su nazvali ovaj problem „DLL load hijacking“.
Bez obzira na naziv, ova slaba tačka postoji u Windows aplikacijama koje ne pozivaju DLL-ove (dinamičke povezane biblioteke) ili izvrÅ¡ne fajlove koriÅ¡ćenjem punog naziva putanje. Umesto toga one se oslanjaju samo na naziv fajla. U tom slučaju ova slaba tačka može da bude iskoriÅ¡ćena od napada koji mogu prevariti program učitavanjem zlonamenrog fajla sa istim nazivom kao i potrebni DLL ili izvrÅ¡na.
Ukoliko napadači mogu da prevare korisnike da posete zlonamerne sajtove ili udaljene deljene direktorijume ili da ih prenesu preko USB drive-a, oni mogu da ugroze računar time Å¡to će ga inficirati sa malware-om. Binary Planting ili DLL hijacking napadi nisu novi: prvi dokazi o njihovom postojanju su stari viÅ¡e od deset godina a Microsoft je informisan o ovom problemu u avgustu proÅ¡le godine od strane istraživača Univerziteta Kalifornija.
Ova vrsta slabe tačke se koristi i u drugim granama: Stuxnet crv koji cilja industrijske kontrolne sisteme i inficirao je hiljade računara u Iranu koristi između ostalog i ovu tehniku. Mozilla je zakrpila DLL deo ove slabe tačke kada je ažurirala Firefox na verziju 3.6.9 Popravka od pre nekoliko dana osigurava sa Firefox neće moći da se koristi za pokretanje lažnih izvrÅ¡nih fajlova.
Rivali Firefox pretraživača kao Å¡to su Safari i Opera su već dobili slične zakrpe sa ciljem zatvaranja svojih slabih tačaka vezanih za ovu problematiku ali Google Chrome joÅ¡ nije. Jedna od kompanija koje su joÅ¡ letos upozorile na ovaj problem je slovenačka sigurnosna kompanija Acros Security koja je objavila da korisnici koji koriste Internet Explorer na Windows XP su najguroženiji po pitanju ovakvih napada.
Ostale zakrpe koje su uključene u update od utorka zatvaraju tri memorijska bug-a u engine-u pretraživača, cross-site scrpting slabu tačku i problem sa SSL sertifikatima. Među drugih 40 ne-sigurnosnih bug-ova koji su popravljeni u okviru Mozilla Firefoxa je i ona vezana za karakteristiku „plug-in-ova van procesa“ koja je dizajnirana da očuva rad pretraživača neometenim ukoliko Adobe Flash Player, Apple Quick Time ili Microsoft Silverlight plug-in krahira.
OOPP je debitovala u Firefox-u 3.6.4. Prema Bugzilla-i, Mozilla-inoj bazi podataka za praćenje bug-ova i promena, OOPP je prijavljivala da dolazi do kraha Flasha kada pretraživač pokuÅ¡ava da reprodukuje sadržaj na Turner Broadcasting Systems Web sajtu.
Međutim, kada OOPP bude isključen Firefox prikazuje Flash sadraje bez problema. Mozilla je izdala i zakrpu za stariju Firefox 3.5 verziju koja je već trebalo da prestane da dobija sigurnosne update-ove. Naime, Mozilla praktikuje da izdaje zakrpe za starije verzije Å¡est meseci nakon Å¡to se pojavi novija verzija, a Firefox 3.6 je izdat u januaru 2010.
