SSL certificaat spoofing lek in Mozilla en Mozilla Firefox...

[gezina]

SSL certificaat spoofing lek in Mozilla en Mozilla Firefox

Emmanouel Kellinis heeft een lek in Mozilla en Mozilla Firefox ontdekt, waardoor kwaadaardige websites SSL certificaten van andere sites kunnen misbruiken, aldus luidt een bericht op security.nl. Het is mogelijk om via een speciaal "onunload event" de browser een geldig certificaat van een betrouwbare pagina te laten laden. Het probleem is dat Mozilla het certificaat van de betrouwbare pagina laadt en het sleutelhangertje laat zien, terwijl de inhoud van de kwaadaardige website wordt weergegeven. Het lek is aanwezig in Mozilla Firefox 0.9.2 en Mozilla 1.7.1 voor Windows en Mozilla Firefox 0.9.1 voor Linux. Andere versies zouden mogelijk ook kwetsbaar zijn. Er wordt aangeraden om geen links van onbetrouwebare websites te volgen en de URL in de adresbalk met die van het SSL certificaat te vergelijken. Meer informatie staat in deze advisory.(Secunia) Zie ook hccnet.nl: Certificatenlek Mozilla/Firefox

 

[gezina]

Twee Mozilla-beveiligingsfouten ontdekt en opgelost (!)

Mozillazine meldt twee security-bugs in Mozilla. Het betreft hier code voor het afhandelen van digitale certificaten. Dit blijkt zelfs nog code te zijn uit de Netscape-erfenis. We dachten toch dat inmiddels wel zo ongeveer alle Netscape-code in Mozilla eens herschreven zou zijn.

Inmiddels zijn de fouten uit deze Netscape-code gehaald. Echter beraad de Mozilla-organisatie zich er nog op hoe ze deze bijgewerkte code aan haar gebruikers beschikbaar gaat stellen. Komt er weer een patch die gedownload kan worden ? Of wordt het een onderdeel van een volgende Mozilla-release ? Of misschien is dit een mooie kans om de werking van de Mozilla Update-server uit te proberen ? Het zal binnenkort wel duidelijk worden...aldus een bericht op mozbrowser.nl Een uitgebreid (Engels) artikel staat op News.com.