Komoly biztonsági hibák a Mozilla, Firefox, Thuderbird programokban

ROTFL, de mennyi "remote execution" és "heap overrun"...

Már előre röhögök azon, hogy amikor már ott fog tartani a Mozilla, mint az IE, hogy állandó bughiradó van vele kapcsolatban ("tyű orosz hekkerek kihasználták egy hibáját"), akkor majd mit fognak mondani az elvakult Firefox fanatikusok.

"Jó, de csak azért találnak annyi hibát, mert meg volt hirdetve a bugvadászat és pénzt adnak érte! Ha Microsoft ilyet hirdetne, akkor az IE-nél sokkal több bug látna napvilágot!"

meg

"Csak azért tudnak ennyi hibát találni benne, mert open source, ha IE is az lenne, akkor abban mégtöbb hibát találnának!"

Nevetséges az egész... :)

:-))

he, en elvakult Firefox fanatikus vagyok!

de nem azert szeretjuk a FF-ot, mert biztonsagos (otvar, ozonviz elotti libekre epitkezve hogy is lehetne, XULrol ne beszeljunk), hanem mert lehet zipbol "telepiteni" :)

az opensource meg nem azert jo, mert kijavitjak a hibakat (ugysem ernek a vegere soha), hanem mert elobb-utobb belekerul sok hasznos dolog is (egyik nap lattam egy mozilla-nightly-buildben spnego/krb/integrated windows auth-t, kiprobalva mukodott is) a sok szemet (skin-support, "hasznos" pluginek) mellett

Én is Firefox fanatikus szeretnék lenni! ;) Annyi probléma van viszont még vele, hogy egyelőre nem biztos, hogy a legjobb választás... Persze megkaptam, hogy "mert a weboldalak nem felelnek meg a szabványnak, azért nem működik rendesen Firefox alatt", IE meg nem szabványos azért működik vele (?!) rendesen. Aham. A Googlet nézve szintén rengeteg hiba jött ki a validatorral, ezek szerint az se figyeli a szabványokat. A Google Mail frankón megy IE alatt, Firefoxal is többé kevésbé azonban annál 1-2 linkre nem reagál semmit (pl. More Options/Show original).

Ah, biztos velem van a baj... :)

Az igaz, hogy ma _szakmailag_ roppant blama html-t hasznalni table tagokkal meg mindenfele padder img-kkel strict xhtml + css helyett, de _uzletileg_ nem. Bar most talan kicsit valtozik a helyzet, mert ugyan kizarolagos Windows uralom van desktopon, viszont az elavult bughalmaz (IE) helyett nem elhanyagolhato szamban hasznalnak Windows userek mas, lenyegesen modernebb, szabvanoknak sokkal inkabb megfelelo bughalmazokat.

Cukipofa "workaroundokat" írogattak a megjegzésben lévő linken. Az egy négyzetcentiméterre eső előfordulása az overflow/overrun szavaknak igen megnőtt a képernyőmön amikor odaszörföztem; éljenek a nem-managelt kódok! :)

Dereng valami, hogy rakat lóvét ígértek annak, aki komoly sechole-t talál mozilláékban. Jól dereng, vagy totál hülyeségre emlékszem? Ez most vajon ilyen eset?

jól emléxel. a lindows fizet annak, aki komoly bugot talál

(késő van ahhoz, h most liket keressek ;-))

http://www.mozilla.org/security/

Mozilla Foundation Announces First Security Bug Bounty Payments, Security Fixes

(September 14, 2004) The Mozilla Foundation today announced the first payments as part of its Security Bug Bounty Program and security improvements in the new Firefox Preview Release, Thunderbird 0.8, and Mozilla 1.7.3. Please see the list of known vulnerabilities for details.

Azaz lehet, hogy nekunk tul keso van, de ok kozben ki is fizettek a penzt amit igertek. Link: http://www.mozilla.org/press/mozilla-2004-09-14-01.html

Na, en is megyek aludni inkabb.

Hmmm. Lehet, hogy erdemes lenne abbahagyni a verziohajhaszast meg a

feature-vihart, es egyszer vegre normalisan, tisztan, atgondoltan megcsinalni

valamit? Legyen kicsi es buta, de _mukodjon_, mert ha el is felejtettuk volna

az utobbi par evtizedben, a gepek igenis determinisztikusak, es _nem termeszetes

hogy egy programban bug van_.

Persze sokkal lassabb nemcsak megirni, hanem ki is tesztelni valamit, de hova

sietunk es miert? Es milyen aron?

Mikor az IE-ben 'sulyos bugok'-at fogtak, es a teljes unix vilag mutogatott,

hogy 'bezzeg a Mozilla', a user ismeroseimet szepen atallitottam Moz-ra, most

meg nezhetek a szemukbe, hogy mi se vagyunk jobbak a Deakne vasznanal.

Azt ne adja Isten, hogy a w3m-ben/lynx-ben is 'sulyos bugot' fogjanak, mert

akkor mar tenyleg irhatom kezzel a http requesteket, meg renderelhetem fejben

az oldalt :).

hibak mindig is lesznek amig emberek irjak a kodokat. 1 nagyon fontos dolgot felejtesz el, amikor mar kijott ez a sec jelentes, mar reg fixalva voltak a bugok es uj verziokent is megjelentek a termekek, nem csak patch meg nightly-kent letoltheto.

A tesztelesben pedig barki reszt vehet, azok is reszt vesznek akik eme hibara ratalaltak es a hibat javitottak, es Te is reszt vehetsz ha ugy erzed ezzel segitesz, barmikor fixalhatod a kodot, ha jo vagy bekuldheted hibajavitaskent stb. Ezt hol tudod megtenni mas bongeszonel? :)

Na ha nekiállsz kézzel írni a http requesteket, mondjuk terminálban telnet valami 80, abban aztán van seclyuk rendesen, lásd ascii szekvenciák amik a billentyűpufferbe raknak valamit.

Egyébként nekem a Gnome-mal van teljesen ilyen érzésem, nem security, hanem használhatóság terén. Fél évente nyomják az új major verziókat, de például a vte (a gnome termináljából a tényleges terminálkezelő rész) ugyanaz, mint a 2.6-osban, és olyan kibszott bugos, hogy az eszméletlen, nagyságrendekkel szarabb, mint az eggyel korábbi verziója, egyenesen használhatatlan, mégsem nyúltak hozzá fél éven keresztül. Más hibát még a 2.4-essel kapcsolatban toltam be nekik, major a severityje, mégsem nyúltak hozzá azóta.

OFF:

Attol, hogy egy programban bug van, a viselkedese meg determinisztikus.

Bocs a kukacoskodasert, de vmikor foglalkoztam sztochasztikus folyamatokkal, igy nem tudtam megallni.

telnet, az mi :)? (netcat rulez) Legalabbis amikor vmiert belassul a mailbox webmail-es felulete, stunnel+netcat -> pop3s-sel szoktam ranezni a leveleimre. Tudom, csak egyszer szannam ra az idot a fetchmail bekonfiguralasara :)...

:set kukac

Hmm, erdekes lenne pl. a bugokat eteto bejovo adatok eloszlasat meghatarozni. Meg aztan mivel az input erosen befolyasolja a belso allapotot, szerintem ez nem kimondottan Gauss-Wiener folyamat, afolott meg mar az en tudasom keves (igazabol mar ott is...).

:set nokukac

Amugy igazad van, 'determinisztikus' helyett 'idoben invarians es kauzalis'-t kellett volna irnom :).

Szerintem gond nelkul kereshetsz hibakat es reportolhatod oket mas bongeszoknel is, szoval nemigazan ertelek...