Secunia publie une alerte de sécurité à propos d'une vulnérabilité hautement critique (quatrième niveau de gravité sur cinq) dans le navigateur Mozilla Firefox 3.5. Selon le blog Security Fix du Whashington Post, les instructions montrant aux hackers comment exploiter la faille ont été publiées en ligne. Cette faille n'est pas actuellement corrigée par Mozilla. La vulnérabilité est due à une erreur dans le traitement du JavaScript par exemple dans les balises HTML « font » et peut être exploitée pour causer une corruption de la mémoire. Une exploitation réussie permet l'exécution d'un code arbitraire. La vulnérabilité est confirmée dans la version 3.5. Elle a été introduite avec l'ajout du nouveau moteur JavaScript Tracemonkey dans Firefox 3.5.

Secunia conseille de ne pas visiter des sites Web qui ne sont pas de confiance et de suivre des liens qui ne sont pas non plus de confiance. Security Fix et le blog sécurité de Mozilla proposent comme solution provisoire de contournement la désactivation du compilateur JIT dans le moteur JavaScript. Saisissez « about:config » dans la barre d'adresse du navigateur, promettez de faire attention, puis saisissez « javascript.options.jit.content » dans la barre de filtre. Double-cliquez sur l'option « javascript.options.jit.content » affichée pour faire passer la valeur de « true » à « false ». Le changement ralentira l'exécution du JavaScript pour la faire revenir à la vitesse des versions 3.0.

MÀJ : Dancho Danchev confirme que l'extension NoScript détecte la tentative du PoC (démonstration de faisabilité) d'accéder à file://.

Sources et références