Falha na nova versão do Firefox

Por: em 25/07/07 na(s) categoria(s): Internet, Open-Source

comentários 46

Em menos de uma semana do lançamento da última versão do Firefox 2.0.0.5, que veio para corrigir oito falhas das quais 3 eram críticas, já se descobriu mais uma falha de segurança. O bug é considerado gravíssimo por expor as senhas dos usuários que ficam gravadas no gerenciador de senhas. O problema acontece quando o Java Script e o gerenciador de senhas estiverem funcionando, o que é padrão do navegador.

Para evitar que o problema aconteça até sair uma nova versão com a falha corrigida, a solução a ser tomada é a desabilitar o Java Script, assim você evita a vulnerabilidade.

Fonte: Slashdot

Mais textos de | Site | Twitter

  • viniciusc

    Ah, Firefox, Firefox…

  • davidkwast

    Tipo, não é mais facil apagar as senhas armazenadas em vez de desabilitar o JS? Se perde menos, certo?

  • maniacs

    Bem oque eu ia comentar … desativar o JS seria péssimo … ainda mais com a web 2.0 e todo site tem alguma coisa de js … é mais facil apagar as senhas e não salvalas enquanto isso …

  • Vanessa.

    Não uso o Firefox há dois anos, só uso o Opera e IE muito raramente, mas o Firefox está tão… assim?

  • bRox

    Que triste.. uma pergunta… esse bug eh so pro ff do windows?

  • Bruno Guerreiro

    Tô até imaginando o desespero dos usuários do Firefox que são muito dependentes do gerenciador de senhas.

    Sorte que utilizo o navegador mais seguro da atualidade.

  • gomidefabio

    Bom comentário. =)

    Fábio Gomide Nolasco
    http://www.fabiogomide.com.br

  • CodeMaster2

    Nessas horas fanboy de Firefox desaparece como fumaça nao é? :>

  • maniacs

    Olha … não é o primeiro nem o ultimo bug … quem nunca vio algum bug nos outros browsers que atire a primeira pedra…
    Quem é desenvolvedor sabe como é ótimo trabalhar com o FF alem do mais, isso não me afeta por eu nunca salvar senha nele =]

  • http://www.noticiasdigitais.com.br/ lucasreino

    Eu tenho um P4 HT, o FF não entende o sistema HT, toda atualização eu tenho que fazer uns comandos no DOS para ele reconhecer somente um processador. Nas últimas versões isso tinha acabado, mas nessa voltou…

  • joaoolavo

    Pessoal, a coisa não eh tão assim.

    Leiam o que saiu no fechaTag para entender um pouco mais:
    http://blog.elcio.com.br/falha-no-password-manager-do-firefox/

    Em suma, qq navegador está sujeito a esse bug, pois o problema é dos sites, não do navegador. Mas como o firefox tem a vantagem de ter um gerenciador de senha (coisa que o IE não tem), acaba sendo mais vulnerável a esse bug específico.

    Falous!!

  • http://pietra@hotmail.com Anônimo

    ahahahhaha

    o último ato desesperado de um fanboy tentando justificar o injustificável…

    http://www.contraditorium.com

  • http://pietra@hotmail.com Anônimo

    Ah, pára de show, o IE sempre guardou senhas, obrigado.

    E dizer que “a falha não é do Firefox, é do site” é a afirmação mais ridícula e fanboyistica que já vi.

    COMO um bug do Firefox vai ser explorado senão ATRAVÉS DE UM SITE? CLARO que há um site no meio. TODO bug de browser usa código HTML,XHML,DHTML, etc, EM UM SITE para comprometer a segurança.

    http://www.contraditorium.com

  • davidkwast

    Explica melhor essa coisa do FF ter problemas com P4 HT. Nunca ouvi falar disso…

    davidkwast.blogspot.com

  • Caravana

    Você ao menos leu o texto que ele indicou?

    Sería bom se ao invés de alarmar, o artigo informasse, que o Konqueror e o Safari também estão sujeitos ao roubo de senhas.

    E que o roubo de senhas não é indiscriminado. Ele precisa de condições de temperatura, vento e pressão para acontecer.

    No caso, o código malicioso tem que estar na própria página vinculada à senha lembrada. Como nem MySpace, nem Orkut, nem Fotolog, nem quase nenhum serviço que conheço permite inserir códigos javascript nas páginas, nenhuma senha minha foi ou será roubada com essa falha que foi descoberta.

    Mesmo assim, uma falha é uma falha, e a MoCo tem a obrigação de lançar uma correção. Rápido.

  • http://pietra@hotmail.com Anônimo

    Não, não tem. A essência dos bugs XSS é justamente não ter que estar na mesma página.

    http://www.contraditorium.com

  • Caravana

    Exatamente. Onde você leu que o bug é XSS?

    Na própria fonte da falha de segurança, você encontra um exemplo que explora a falha.

    E são eles que concluem isso:

    “There has been some discussion, if this really is a vulnerability in Firefox. Because if an attacker can place script code on a server, he has other means to steal passwords.”

    e aqui, isso:

    “Apple’s Safari behaves in a similar manner. The browsercheck demo works the same way: on visiting the “evil” page, your password is stolen by JavaScript without any user interaction.”

    Eu posso estar mal informado sobre esta falha em específico, mas não vejo essa gravidade toda.

  • http://www.highlanderbr.com Highlander

    Cardoso, vai para o seu Mac e deixa a galera do PC em paz :P

    Pro pessoal que tá preocupado com o bug, instalem a extensão NoScript* e sejam felizes. Depois que instalei ela, essas notícias não me preocupam mais.

    * Só buscar as extensões mais baixadas no site oficial. No início, é um pouco chato liberar scripts dos sites confiáveis, mas depois de um tempo, fica tudo redondo.

    Crônicas Imortais

  • http://sites.google.com/site/flavioamieiro/ Flávio Amieiro

    Por algum motivo (misterioso?), eu nunca consegui me sentir a vontade com gerenciadores de senhas… Mesmo usando o Opera, que eu confio bastante, não tenho coragem pra deixar minhas senhas gravadas em qualquer lugar que não seja minha cabeça.

    Talvez seja mau hábito do tempo que eu usava o IE, ou do tempo em que eu tinha que formatar meu HD com tanta freqüência que não dava nem pra guardar as senhas antes de formatar de novo.

    Seja realista, exija o impossível !

  • http://blog.mauriciofedatto.com Maurício Fedatto

    Basta apagar as senhas.

    Abro mão de qualquer senha estapafúrdia para manter o JavaScript ativo. Não uso o gerenciador de senhas a muito tempo (estava esquecendo minhas senhas).

    Maurício Fedatto
    Web Development with flour!
    http://anaomanco.blogspot.com.br/
    On road to crossbrowser

  • lamarca

    de novo?? está virando rotina esse negócio de desabilitar javascript enquanto o bug não é corrigido

    quem tiver tempo, leia esse artigo:

    http://operawatch.com/news/2007/07/hacker-suggests-using-the-opera-browser.html

  • Sergio Alex

    Em todo browser que é browser, aparecem falhas de segurança…

    O que interessa é que o pessoal responsável, apareça com correções o mais rápido possível.
    E nesse aspecto, o Firefox tem tido correções bem rápidas no passado para corrigir outras falhas.

    Blog Dois Cliques

  • maniacs

    E tbm quero saber … uma coisa é fazer instrucoes especificas para o HT outra que não conheço (nunca vi nem ouvi falar) é não entender mesmo não precisando entender :S e dar erro por isso ….

  • http://sites.google.com/site/flavioamieiro/ Flávio Amieiro

    Interessante, mas de qualquer jeito ele fala pra usar o Opera com os scripts e plugins desabilitados. Isso já é segurança a mais em qualquer browser…

    Seja realista, exija o impossível !

  • maniacs

    Quanto a isso você esta certo …

  • maniacs

    Melhor coisa é não salvar a senha no browser … e para não ficar sempre pedindo desative nas confs =]

  • awregan

    Fale ai pra nós Cardoso, quanto a microsoft anda te pagando?

  • naio21

    Perfeito, mas então parem com esta ladainha que “Firefox é mais seguro que o IE” e que “o fato de ser código aberto permite que a comunidade corriga as falhas rapidamente” (a maior bobagem que já li nos últimos tempos).

  • naio21

    Pro pessoal que tá preocupado com o bug, instalem a extensão NoScript

    …e capem metade da utilidade do seu web browser. Muuuuuito inteligente…

  • naio21

    E quanto a Apple ou a Canonical está te pagando para atacar a Microsoft?

  • Rodz

    Hehehe.. isso só nos mostra o que todo mundo já sabia (mas os fanboys do pinguim não assumiam): QUALQUER plataforma que comece a conquistar uma parcela maior de mercado (leia-se usuários) está mais sujeita a ser explorada, exploitada, hackeada e detonada. SOMENTE POR ISSO temos mais vulnerabilidades exploradas no Windows e no IE. E foi só a raposa foguenta começar a ganhar um mercadinho, para a farra dos bugs aparecerem….

    A diferença é que a MS é uma empresa comercial e, como tal, tem o maior interesse em corrigir logo as falhas. E mesmo o fanboy mais xiita tem que admitir que não há empresa mais rápida em liberar fixes e patches para os problemas encontrados do que a empresa do Tio Bill. Agora, quero ver a tal “comunidade” se mobilizar e resolver rapidamente a falha do Firefox. A molecada vai ter que dar um tempo nos joguinhos online para trabalhar na correção do código..

  • maniacs

    koAoKAkoAkoAkoAoKAKOA nunca li coisas mais comica ! vocês falam de fanboys … mais não passam de fanboys kkkkkkkkkkk
    Ja algum tempo venho percebendo isso
    Alô hein … antes de criticar se olha no espelho …
    bug no do outro é refresco …

  • Caravana

    Ah é?

    Se você está dizendo, eu devo acreditar então, né…

  • Daniel Fonseca Alves

    Putz, que falha heim ?

    A própria página tem que ser hackeada para poder alguém roubar uma senha…

  • Daniel Fonseca Alves

    Ato de desespero de um fanboy ou uma pergunta simples ? Sei não, quem parece desesperado é vc Cardoso …

  • http://www.highlanderbr.com Highlander

    Muito pelo contrário, a extensão permite que você habilite os scripts apenas nos sites que desejar.

    Crônicas Imortais

  • http://www.artecoral.com.br Slip_A2

    E pessoal do software livre é fanboy… ¬¬

    Mas é assim mesmo, quando é soft livre é fanboy, quando é MS é “anti-fanboy” que na realidade não passa de um fanboy também.

    Mas é assim, quando um navegador que é seguro apresenta uma falha que pra acontecer você precisa de um “cenário” que não é fácil de acontecer o pessoal já vai descendo a lenha, falando mal e glorificando os outros navegadores.

    Agora, quando descobrem um vulnerabilidade em navegadores como IE ninguém fala nada, claro, isso é normal.

  • ColdFusion

    Uma pergunta:

    No Firefox existem algumas opções pra arrumar isso enquanto não existe um bugfix (instalar o tal plugin mencionado, apagar as senhas, desabilitar o java ou até, desinstalar o firefox), agora, e no IE (integradíssimo até o osso no windows), o que se faz?

    PS: Trolls e fanboys são uma versão “gratuita” dos Pró-bloggers, já repararam nisso?

    Apenas mais um blog!–> TAKEUSPA!!!

  • maniacs

    Sim … venho percebendo …

  • http://sites.google.com/site/flavioamieiro/ Flávio Amieiro

    Pelo (pouco) que eu pude entender, essa falha de segurança não foi orquestrada por ninguém, é simplesmente um bug – coisa muito comum quando desenvolvendo qualquer produto – que não foi (e aí está o erro) corrigido antes do lançamento do produto final.

    Por isso, a existência deste erro não tem nada a ver com a popularidade do browser. Não é um virus criado especificamente para ele, por exemplo (e é desse tipo de coisa que eu acho que a maior parte das pessoas falam quando dizem que o windows é mais atacado por ser mais popular).

    O fato do FF ter ganho popularidade pode até fazer diferença – e muita – no quanto esta falha vai tentar ser explorada. O grande número de usuários vai ser com certeza um atrativo para este tipo de ataque.

    Agora, dizer que a Microsoft é a empresa mais rápida para liberar patches só pode ser entendido como tentativa de criar um flame war aqui…

    # Seja realista, exija o impossível !

  • Caravana

    Pois então, leia essa bobagem aqui:

    “Yet despite that, in the six months up to Firefox 2 some 27% of the patches to Firefox were submitted by key volunteers, and those patches represent 24% of changes made to the source code”

    Se pra você, isso é um número baixo de contribuição – 27% das contribuições, que representam 24% das mudanças no código fonte – vindo da comunidade, lembre-se que um navegador tem a complexidade de um sistema operacional, rodando dentro de outro.

    E ainda tem que seguir uma série de padrões e especificações, além de ser necessário prever e solucionar situações inseguras, tanto na relação do mesmo com o sistema operacional, quanto nas operações internas.

  • almirneto

    Galera.. é so anotar as senhas em um bloquinho de papel!!

    Problema resolvido!

    E como diz nossa ministra: RELAXA E GOZA

  • http://blog.fshark.com fShark

    Aff… nem compensa discutir com quem não tem cabeça nem pra guardar as próprias senhas…

    http://under-linux.org/7665-piada-do-dia.html

  • http://pietra@hotmail.com Anônimo

    Usuário bloqueado até demonstrar por documentação inequívoca que “a Microsoft está me pagando” ou então enviar um pedido formal de desculpas.

    Bloqueio baseado no ZICA – Zero Idiot Comment Act do MeioBit, de 2006.

    http://www.contraditorium.com

  • Phair

    Boa pergunta.. mesmo usando um Firefox 0.8 alfa seu Ubuntu não vai ser infectado nunca, o mesmo não se pode dizer do Ruindows.

  • Night64

    Enquanto tem gente reclamando da falha de segurança do Firefox (já sanada), em http://secunia.com/advisories/26201/

    E ai? Falha crítica de segurança no IE7. Na verdade é do Windows, mas você tem que ter o IE7. Descoberta no dia 26, vamos ver quantos dias vai demorar pra sair o patch…