Freeman85 Jul 14 2009 at 20:57

Обнаружен критический эксплоит Firefox 3.5

1 min

Information Security*

+59

101

Comments 101

Etherial Jul 14 2009 at 21:02

Как показывает практика такого рода эксплойты закрываются Mozilla Foundation оченб оперативно, завтра-послезавтра выйдет патч.

seraph Jul 14 2009 at 21:05

А я всегда говорил, что font — зло )

UFO landed and left these words here

RedOctober Jul 14 2009 at 21:16

У меня такая же история…

socket378 Jul 14 2009 at 21:29

добро пожаловать в ботнет :)

kottt Jul 14 2009 at 21:38

Ой, ну что вы. По коду эксплоита итак понятно, что ничего ужасного не запускается :)

Holy_Cheater Jul 14 2009 at 21:37

Пример просто не отпилен до блеска.
У меня при открытии сохраненного html-файла дабл-кликом из эксплорера запускался калькулятор вместо браузера.

UFO landed and left these words here

Holy_Cheater Jul 14 2009 at 21:58

А смысл выкладывать в публичный доступ красиво работающий эксплойт? :)

timon_sk Jul 14 2009 at 21:46

а у меня антивирус говорит, что в хтмл файле скрывается злая хрень и не даёт открыть его, пришлось заливать на свой сайт :(

iAndrey Jul 14 2009 at 21:49

теперь у вас на сайте скрывается злая хрень))

Fiery_Ice Jul 14 2009 at 23:59

А что за антивирус?

timon_sk Jul 15 2009 at 00:22

Avira AntiVir Personal с базами за 14.07.2009

tegger Jul 14 2009 at 22:04

После выключения javascript.options.jit.content перестало падать, кстати.

Mithgol Jul 14 2009 at 22:25

Очень ценное наблюдение.

Стало быть, проблема именно в ускорителе джаваскриптов.

IntenT Jul 14 2009 at 23:31

там слишком длинный шеллкод, для «только запустился калькулятор».
В такой шеллкод вам впарили нечто иное, счастливым наивным обладателем чего вы и являетесь сейчас.

timon_sk Jul 14 2009 at 21:13

а у меня калькулятор так и не запустился, зато огнелис упал… когда они научатся делать везде рабочие эксплоиты?..

SMiX Jul 14 2009 at 21:21

Скорей там умышленная ошибка — защита от дурака

naum Jul 14 2009 at 22:37

Большинство 0day сплоитов так и выкладываются. Скорее, вы правы.

pcmaniac Jul 14 2009 at 21:21

В 3.6 обещают более стабильную поддержку распараллеливания и изоляции эксплоитов друг от друга, чтобы быстрее работали и локтями не толкались)

inoname Jul 14 2009 at 21:15

у меня просто окрылась страница с кодом

Adamska Jul 14 2009 at 21:39

На XP 32 тоже

homm Jul 14 2009 at 21:44

Это защита от дурака. Судя по всему работает.

Adamska Jul 15 2009 at 00:23

Ой :-) Не сообразил. :-)

NULL_byte Jul 15 2009 at 01:42

Я бы сказал от идиота :)

PycmaM Jul 14 2009 at 21:15

работает таки, калькулятор запустился

seraph Jul 14 2009 at 21:16

А какая у вас ОС? У меня на Висте x64 лис упал, но калькулятор не запустился. Что я неправильно сделал?

Freeman85 Jul 14 2009 at 21:21

Говорили где-то, что на x86_x64 не работает ^_^

kottt Jul 14 2009 at 21:31

У меня на Win7 x64 тоже не запустился и браузер не упал. Черт, и что же теперь делать? )

homm Jul 14 2009 at 21:39

вин ХР сп 2, не запустился.

eugenex15 Jul 15 2009 at 00:37

перезагрузи систему и попробуй еще раз!!!))))))

seraph Jul 14 2009 at 21:38

А патч какой-нибудь выпустят или может, что в конфиге подправить нужно, чтобы всё падало правильно?

Akr0ZiS Jul 14 2009 at 21:46

У меня и на x86 Висте не сработало — просто Фокс упал…

PycmaM Jul 15 2009 at 08:19

XP SP3, лис тоже упал

omfg Jul 14 2009 at 21:15

У меня тоже крэш репорт.
Кому интересно — выложил на хостинг

Sirob039 Jul 14 2009 at 21:17

Стоит адднон Noscript и решает много проблем с безопасностью.

omfg Jul 14 2009 at 21:21

Заодно и лишает всех прелестей современного веба

E1vBaX Jul 14 2009 at 21:25

например попандеров с порнухой

omfg Jul 14 2009 at 21:30

Мне кажется все таки лучше пользоваться интернетом на всю катушку, со всеми прелестями ява скрипта и аякса, изредка наблюдая вышеупомянутые попандеры которые прорываются через AdBlockPlus c русской подпиской

E1vBaX Jul 14 2009 at 21:34

Толсто!

setevik Jul 14 2009 at 23:18

Для этого есть белый список

eugenius_nsk Jul 15 2009 at 09:53

И временные разрешения.

Holy_Cheater Jul 14 2009 at 21:39

Я таких не видел. Мы с вами в одном интернете живём?

Sirob039 Jul 14 2009 at 21:31

Сайты на которых постоянно бываю добавил в белый список.
Новый сайт можно _временно_ разрешить — перезагружается страница.
Спокойнее ходить по «сокращенным» ссылкам из Твиттера.,
Не страшны как не закрытые, так и 0дей уязвимости Адобе ПДФ Ридере и Флеш Плеере.

omfg Jul 14 2009 at 21:33

Ну если диапазон посещаемых вами сайтов за день так невелик, то удобно, да, не спорю)

setevik Jul 14 2009 at 23:20

У меня в белом списке меньше 100 позиций, хватает с головой. В иных случаях удобнее разрешить выполнение на время текущей сессии и ни в чем себе не отказывать ;)

noma4i Jul 14 2009 at 21:29

после того как автор этого плагина был пойман на том, что отключал Adblock — веры ему нет.

haikuos Jul 14 2009 at 21:22

а у меня Firefox 3.5 неожиданно превратился в Netscape 3.0

VEG Jul 14 2009 at 21:23

В Firefox 3.0 не сработало. Значит в новой версии накосячили.

pcmaniac Jul 14 2009 at 21:25

Ну как-бы в хидере написано что в 3.5 ;)

agsh Jul 14 2009 at 21:31

В новости на ЛОРе написано, что Firefox 3.0.11 тоже роняет

actiongroup Jul 14 2009 at 21:57

У меня 3.0.11 не уронил, а вот 3.5 вылетает.

Zoriq Jul 14 2009 at 21:25

Ubuntu 9.04 — Firefox 3.5 вылетел. calc.exe не запустился)

GrustniyKot Jul 14 2009 at 21:29

больше того, чтобы не ковырять код эксплоита, я создал в /bin исполнимый файл calc.exe.

но он тоже не запустился :(
так что в этом варианте эксплоит для linux безопасен.

Holy_Cheater Jul 14 2009 at 21:43

Тем не менее если вылетает, значит что ошибка переполнения буфера есть всё равно. А написать рабочий эксплойт, который будет запускаться как под виндой, так и под никсами — дело техники.

prodd Jul 14 2009 at 22:03

под никсами систему конечно не завалит так как прав нет, но кровь попортит, если например удалит все данные пользователя

Fiery_Ice Jul 15 2009 at 00:16

Скажи пожалуйста (учитывая, что эксплойт расчитан на чисто пользовательское приложение), что страшнее: превратить систему в бот но сохранить пользовательские данные, что легко лечиться переустановкой системы, или оставить нетронутой саму систему (которая, как мы помним, элементарно переустанавливаеться в случае чего), но при этом потерять все пользовательские данные (возможно безвозвратно), которые по какой-либо причине небыли забекаплены?

blackst0ne Jul 15 2009 at 05:19

Выход: запускать браузер под левым аккаунтом в системе.

Fiery_Ice Jul 15 2009 at 05:32

Или использовать что-то вроде SELinux.

gigigi Jul 14 2009 at 22:52

у меня и 3.0.11 умер

Freeman85 Jul 14 2009 at 21:29

Ubuntu 9.04

calc.exe

Ну вы понели.

Zoriq Jul 14 2009 at 21:31

Шутка. Ну вы не поняли.

GrustniyKot Jul 14 2009 at 21:31

в linux мало команд?

saver_ag Jul 14 2009 at 21:32

Было б круто если бы запустился на самом деле.

tema_sun Jul 14 2009 at 21:28

В XP SP3(x86) не запустилось ничего, но браузер упал.
Далеко не везде работает оно.

Fiery_Ice Jul 15 2009 at 00:22

Есть мнение, что это лишь потому, что создатели хотели просто показать, на что оно способно, но не хотели, что бы всякие несознательные личности (те из них, которые умеют и любят «ломать» других только готовыми инструментами — малолетние кулхацкеры то есть) тут же начали использовать это примет эксплойта в своих грязных целях.

Constantin Jul 14 2009 at 21:30

В убунте не работает:
Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.1) Gecko/20090701 Ubuntu/9.04 (jaunty) Shiretoko/3.5
Просто нормально открывает страницу :)

UFO landed and left these words here

dmach Jul 14 2009 at 21:32

Ни за что не променяю на эту поделку Internet Explorer!

(а то что-то начал из минуса медленно выходить — не дело)

Habroche Jul 14 2009 at 21:33

Я один такой дурак, что мне не хочется «пробовать»? 0_о

GrustniyKot Jul 14 2009 at 21:34

нет, просто вы здесь только 3 дня зарегистрированы =)
«не всосались»(с)

Habroche Jul 14 2009 at 21:36

Да, правда, видимо.
Ну ничего, долго кошка пылесосу сопротивлялась…

pcmaniac Jul 14 2009 at 21:36

LDEV Jul 14 2009 at 21:46

Хмм, а Касперский уже в курсе эксплоита — бананит, правда всё-равно крэш ))

Akr0ZiS Jul 14 2009 at 21:50

И правда детектится: HEUR:Exploit.script.Generic

finn Jul 14 2009 at 21:51

У меня Win2003 — лис не упал, калькулятор не открылся :(

Silenttouch Jul 14 2009 at 21:56

Вот как-то так:

naum Jul 14 2009 at 22:40

Боюсь, что реакция была на имя файла :) не более того.

DnV Jul 14 2009 at 21:57

Хоть посмотрел как лис падает, ни разу до этого не видел =)

UFO landed and left these words here

Mithgol Jul 14 2009 at 22:28

Там речь шла о том, чтобы подсунуть эксплоит в файл загружаемого шрифта TrueType.

Тут совсем другие методы.

exvel Jul 14 2009 at 22:07

Мне этот топик напоминает обсуждение запуска вируса под Линукс. Все чего-то отписываются, пробуют открыть, что-то скачать, что-то допилить, у кого-то выходит, у кого-то нет. И внимание! РАДУЮТСЯ, если заускается. :-)

corristo Jul 14 2009 at 22:54

ждем патча от Линуса.

yoihj Jul 14 2009 at 22:19

Временный пластырь:

1. about:config
2. «jit» в Filter
3. Дабл клик на javascript.options.jit.content — сделать false.

Crypto Jul 14 2009 at 22:20

В Vista и прочих системах, в которых поддерживается DEP, файрфокс свалится и ничего не запустится.

Crypto Jul 14 2009 at 22:26

Конечно же, при условии, что DEP реализован и в процессоре. :)

Etherial Jul 14 2009 at 22:28

DEP можно отключить и после этого проверить. Для чистоты эксперимента :)

mix2000 Jul 14 2009 at 23:30

У меня браузер упал, а windows выдал справку «Что такое предотвращение выполнения данных?». )

UFO landed and left these words here

Quiz Jul 14 2009 at 22:58

Лис 3.0.11
Воспроизвести не удалось :)

DAiMor Jul 14 2009 at 23:12

При попытке сохранить пример, мой антивир Avira сразу предупредил о наличии угрозы в виде троянского скрипта.
Имя: HTML/Silly.Gen
Обнаружен: 14/08/2007
Вид: Троянская программа
при проверке на лисе3.5 в Windows7, лис завис и позже рухнул но калькулятор так и не запустил

UFO landed and left these words here

Ronin Jul 14 2009 at 23:47

Не совсем понятна фраза «обнаружен эксплоит». Обнаружена уязвимость, эксплоит написан.

UFO landed and left these words here

tumkir Jul 15 2009 at 00:24

Если под патчем понимать Firefox 3.5.1, то да. Но кому не терпится, могут ночнушку 3.5.1 установить.

lahmatiy Jul 15 2009 at 01:33

Прикольное обсуждение. Оказывается тег <font> как бы ни причем, проблема оказалась в работе со строками. Особо понравилось:

You guys rock. I was able to hack the shell into crashing with the last testcase!

Какие то пророческие получились слова. Так и хотется добавить "… так и вышло".
Баг обнаружили 9 июля, эксплоит появился 13-го.

Masterkey Jul 15 2009 at 00:50

а у меня вот че вывел

Firefox 3.5 Heap Spray Vulnerabilty
Author: SBerry aka Simon Berry-Byrne
Thanks to HD Moore for the insight and Metasploit for the payload

Loremipsumdoloregkuw

Loremipsumdoloregkuwiert

Loremikdkw
# milw0rm.com [2009-07-13]

на

Mozilla/5.0 (X11; U; Linux i686 (x86_64); ru; rv:1.9.1) Gecko/20090624 Firefox/3.5

калькулятор, то он явно не запустил, а вот в остальном…

но фокс не упал )))

хорошая лиса — огненная лиса

desterman Jul 15 2009 at 02:30

Оппа! FF 3.5 на iPC 10.5.7 через 2 секунды предлагает остановить или продолжить выполнение сценария. Выбрал продолжение и тут же заработал kernel panic.
Скорее всего глюк хакинтоша.

SowingSadness Jul 15 2009 at 12:09

Кернел паник от JS в браузере — это все же сильно ;)

Adamska Jul 16 2009 at 22:09

3.5.1. Обновляемся!