赛门铁克称FF缺陷多于IE,FireFox再次修正数个安全缺陷！

Mozilla 基金会已经发布了一款Firefox 升级包，修正了其中数个严重的安全缺陷，其中包括最近发现的一款能够让黑客秘密运行恶意代码的缺陷。

　　Mozilla 基金会的一名代表称，他们在本周二晚些时候发布了Firefox 1.0.7。Mozilla 基金会还计划在本周末发布新版Mozilla Suite 1.7.12。一周前，Mozilla 基金会就表示将发布新版软件，解决其中的许多缺陷。

　　本周三，Mozilla 基金会产品方面的负责人克里斯说，我们强烈建议所有用户升级到最新版本。他说，他们不知道有利用这些被修正缺陷的恶意代码出现。

　　他表示，这个升级版的首要目的是修正二周前披露的一个缺陷，该缺陷影响所有版本的Firefox 、Mozilla 浏览器，它存在于浏览器处理国际域名的方式中。许多迹象表明，黑客已经在开发利用该缺陷的恶意代码。

　　升级版软件还修正了一个只影响Linux 版Mozilla 和Firefox 的问题，这一问题在本周二才被公开。该缺陷存在于浏览器处理来自其它软件的Web 地址的方式中，它可能使黑客控制用户的PC。

　　克里斯表示，用户可以在Mozilla 基金会的网站上下载Firefox 1.0.7 ，将将在未来数天后通过Firefox 中的更新功能提供给用户。用户必须下载全新的完整软件包。计划于年底前发布的Firefox 1.5 将采用更好的打补丁机制，使用户只下载补丁软件。

　　在最近数年中，Firefox 已经迅速普及，成为了IE的有力挑战者。尽管最近其市场份额略有下滑，但分析人士认为，8%-9% 的网民都在使用Firefox 浏览器。Mozilla 基金会估计，Firefox 的用户约有4000-5000 万人。

　　比IE更安全一直是Firefox 的一个主要卖点。但是，Firefox 也有安全问题，自正式发布以来，Firefox 中已经发现了许多安全缺陷。

　　本周早些时候，赛门铁克公司称，今年上半年，Mozilla 浏览器中发现的缺陷要多于IE。

正常,开源么,发现的当然多,不揪出问题来,还叫开源啊!

反应速度快

漏洞停不了，最新 secunia 報告：Firefox Multiple Vulnerabilities

Secunia Advisory: SA16911    

Release Date: 2005-09-23
 
Critical: Highly critical

Impact:
Security Bypass
Spoofing
Manipulation of data
System access
 
Where: From remote
 
Solution Status: Vendor Patch

Software:
Mozilla Firefox 0.x
Mozilla Firefox 1.x

Description:
Multiple vulnerabilities have been reported in Firefox, which can be exploited by malicious people to conduct spoofing attacks, manipulate certain data, bypass certain security restrictions, and compromise a user's system.

1) A boundary error in the processing of XBM images can be exploited to cause a heap based buffer overflow via a specially crafted image.

Successful exploitation allows execution of arbitrary code.

2) An error in the processing of Unicode sequences with "zero-width non-joiner" characters can be exploited to corrupt the stack and cause a crash.

Successful exploitation may allow execution of arbitrary code.

3) An input validation error in the processing of headers passed to the "XMLHttpRequest" object can be exploited to inject arbitrary HTTP requests.

4) An unspecified error where a XBL control which implements an internal interface can spoof DOM objects.

This is similar to vulnerability #8 in:
SA16043

5) An unspecified integer overflow error in the JavaScript engine can be exploited to execute arbitrary code.

6) The problem is that unprivileged "about:" pages can load privileged "chrome:" pages in certain situations.

This does not pose any security risk by it self, but can be exploited in combination with other cross-site scripting vulnerabilities to execute arbitrary code.

7) An error in the creation of windows can be exploited to open a new window without the address bar and status bar via a reference to a closed window.

Successful exploitation allows bypass of certain security mechanisms designed to protect against phishing attacks.

The vulnerabilities have been reported in version 1.0.6. Prior versions may also be affected.

Solution: Update to version 1.0.7.

Secunia 2005 年漏洞报告：

FF  IE Opera
Extremely Critical   1   1   0
Highly Critical      6   4   0
Moderate Critical    8   1   5
Less Critical        3   2   2
Not Critical         2   3   0
Total               20  11   7

很快就会修复。看来abc很留意相关报告啊，好像一天到晚守着似的。

楼上的那个好像已经修复了。

Solution: Update to version 1.0.7.

zhh01pfg：很快就会修复。看来abc很留意相关报告啊，好像一天到晚守着似的。回到原帖

subscribe secunia 的 rss: http://secunia.com/information_partner/anonymous/o.rss 打开浏览器便看到。

怎么好像赛门铁克一直在强调FF的漏洞。光这论坛就转过n次报道。FF虽然有漏洞，但是一方面已知漏洞都迅速补上，另一方面现在的恶意网页都是针对IE设计，所以FF安全无忧。
赛门铁克应该去全世界找找哪个恶意网页是针对FF的，又有几个FF用户受害了。

三翻说的有道理。漏洞就跟FF每日更新贴列出的大把bug一样，是不可避免的。所以关键的是出了漏洞能不能最快的补上，避免被利用。等1.5版本出来，有了即时更新，FF的安全就更不用担心了，一出漏洞就补，等于没漏洞。

总之我还没有听说过身边的朋友或者网友因为firefox的漏洞而中招的

firefox比ie安全,这就够了

pho：firefox比ie安全,这就够了回到原帖

一年前是肯定的。目前及将来则很难说。FF 虽然修补快，但漏洞之多与当年的 swiss cheese IE 不遑多样。

2005 的 20 个 secunia 报告中，实际上包豁了 55 个漏洞 (multiple vulnerabilities 报告)。而 IE 同期的 11 个 secunia 报告中只有 21 个漏洞。

全世界所有含义恶意代码，病毒，木马的站点全列出来。
用FF不开病毒监控不开防火墙去浏览，哪个会攻击到FF？
这不叫安全？

IE数漏洞安全，好阿，随便叫几个IE用户不开病毒之类监控，去逛一圈，看有几个能活着回来的。
这叫安全？


IE6发布4年多了，一个经过4年时间全世界多少人考验，发现漏洞，补漏洞的浏览器，要还是比一个新出的浏览器漏洞多，那微软也好关门了。

宇宙火星：全世界所有含义恶意代码，病毒，木马的站点全列出来。
用FF不开病毒监控不开防火墙去浏览，哪个会攻击到FF？
这不叫安全？

IE数漏洞安全，好阿，随便叫几个IE用户不开病毒之类监控，去逛一圈，看有几个能活着回来的。
这叫安全？


IE6发布4年多了，一个经过4年时间全世界多少人考验，发现漏洞，补漏洞的浏览器，要还是比一个新出的浏览器漏洞多，那微软也好关门了。回到原帖

的确，没有人会笑婴儿不会走路。ie是依附微软windows这头巨象一根毛罢了，大象不如狐狸那么有灵性，行动迟缓不足为怪，但一动起来就是有势不可挡的味道，面对一个可以赔钱买xbox的对手，愿小狐狸一路走好....
无论如何漏洞总会有，风险的大小看个人的安全意识，浏览习惯....