Firefox-patches Zero-day, Hacking Contest Bugs

Nog maar een paar dagen nadat een hacker de code heeft vrijgegeven die kan worden gebruikt om de Firefox-browser aan te vallen, hebben Mozilla-ontwikkelaars een oplossing.

Ze hebben een bijgewerkte 3.0.8-versie van hun vlaggenschipbrowser vrijdagmiddag vrijgegeven, slechts twee dagen nadat de code op de Milw0rm was gepost. Website en eerder dan de oplossing was beloofd.

Deze update repareert ook een fout die vorige week werd onthuld aan onderzoeksbureau TippingPoint door een hacker die het gebruikte om de Pwn2Own-wedstrijd van het bedrijf te winnen tijdens de CanSecWest-beveiligingsconferentie. Het was een van de drie die werd gebruikt door een Duitse hacker, die alleen zijn voornaam, Nils, gaf om $ 15.000 in contanten en een laptop als prijzen te claimen.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Mozilla-ontwikkelaars hadden de release beschreven als een "hoge-prioriteitsbeveiligingsbeveiligingsupdate" dankzij de aanvalscode, die bekend staat als een "zero day" -activiteit. Het snelle werk loonde, omdat ze verwachtten dat het tot begin volgende week zou duren om het testen te voltooien.

Mozilla zegt dat beide bugs 'kritiek' zijn. Nils 'fout maakte gebruik van een bug in een Firefox-routine die bekendstaat als methode _moveToEdgeShift. Hij gebruikte het om de browser te hacken die op Mac OS X draaide, maar het kon ook andere platforms beïnvloeden.

De andere fout, die te maken heeft met de manier waarop de browser XSL-stylesheets (Extensible Stylesheet Language) verwerkt, beïnvloedt Firefox op alle besturingssystemen en heeft ook invloed op de Seamonkey-internettoepassing. Beide bugs kunnen worden geactiveerd door een slachtoffer te laten trouwen in het bekijken van een kwaadwillig gecodeerde webpagina, waardoor een aanvaller ongeoorloofde software op het systeem van een slachtoffer kan installeren. Dit soort webgebaseerde malware, een drive-by-download genoemd, is de laatste jaren steeds populairder geworden.

De volgende update van Firefox, 3.0.9, is gepland voor 21 april.