Дыра является критической и позволяет злоумышленнику выполнить в системе произвольный код. Уязвимость связана с переполнением при создании объекта SOAPParameter, а использовать ее злоумышленник может, создав веб-страницу, содержащую специальный код на javascript и заманив на эту страницу пользователя. Дыра актуальна для всех версий Mozilla вплоть до 1.6, а также для основанных на Mozilla браузерах Netscape 7.x.

В последней версии Mozilla 1.7.1 дыра отсутствует. Про популярный браузер Mozilla Firefox в сообшении iDefence ничего не говорится. Однако, учитывая, что последняя его версия с индексом 0.9.1 (или 0.9.2 для Windows) основана на коде Mozilla 1.7.1, то дыры в ней нет. Более ранние версии, скорее всего, являются уязвимыми для атаки. Всем пользователям уязвимых версий эксперты рекомендуют перейти на Mozilla 1.7.1, либо отключить поддержку javascript. В последнем случае, однако, многие сайты будут работать неправильно.

Этой дырой, впрочем, проблемы не ограничиваются.

Стоит отметить, что разработчики Mozilla весьма оперативно реагируют на сообщения о дырах и исправляют ошибки. 4 августа увидели свет очередные несколько обновлений для программ Mozilla, Mozilla Thunderbird и Mozilla Firefox. В обновленных версиях ликвидированы дыры в трех разных модулях. В частности, были исправлены три ошибки переполнения в модуле libpng, ответственном за обработку графических файлов в формате PNG. Используя эти ошибки злоумышленник мог выполнить в системе произвольный код.

Еще одна устраненная критическая уязвимость связана с возможностью использования поддельных сертификатов безопасности, способных блокировать использование SSL и HTTPS. В этом случае пользователь лишается возможности посещать сайты с безопасной аутентификацией. Третья дыра, в отличие от двух первых не является критической, но может использоваться для маскировки мошеннических сайтов под заслуживающие доверия ресурсы. Исправленные версии программ получили индексы Mozilla 1.7.2, Firefox 0.9.3 и Thunderbird 0.7.3.

Несколько слов стоит сказать и о вышедшей в середине июля второй альфа-версии Mozilla 1.8. В ней реализованы несколько весьма интересных нововведений. Во-первых, в Mozilla 1.9 Alpha 2 появилась начальная поддержка новой платформы плагинов, о разработке которой в начале июля объявили Mozilla Foundation и Opera Software. Во-вторых, в почтовом клиенте появилась возможность использовать один и тот же набор локальных папок для нескольких ящиков с доступом по протоколу POP3. Наконец, с помощью контекстного меню стало возможным открывать автоматически заблокированные всплывающие окна.

Источник: http://security.compulenta.ru