Niebezpiecznik

Na początku tygodnia głośno zrobiło się o luce 0day w Firefoksie 3.6. Problem w tym, że wszyscy piszą o exploicie, którego na oczy nie widzieli…

Wszystko zaczęło się od posta Evgeny’ego Legerova na forum Immunity Canvas, narzędzia do przeprowadzania automatycznych testów penetracyjnych. Evgeny jest autorem płatnego dodatku do Canvasa o nazwie Vuln Disco, a jego post przedstawiał zawartość wersji 9.0 tego dodatku:

Three client-side exploits in this release: (…) clientside/vd_ff – 0day Firefox exploit (XP SP3, Vista) (…)

Na bazie tego posta, Secunia opublikowała ostrzeżenie. Warto podkreslić, że Secunia nie otrzymała kodu źródłowego exploita, a mimo to założyła, że dziura faktycznie istnieje bazując na reputacji Evgeny’ego. W końcu Vuln Disco znane jest ze sprzedawania 0day’ów, np. do MySQL.

Oddajmy głos Tomasowi Kristensenowi, CSO z Secunii:

This particular report is a bit special because of the lack of information available. Normally, we do not write about vulnerabilities unless certain details are available and / or we can test it. (…) and previous vulnerabilities reported by this company / person has proved to be reliable.

Wiem, ale nie powiem

W sieci panika, bo statystyki padów “Frajerfoksa” dziwnie wzrosły. Przy okazji warto sobie zerknąć na to, która strona w internecie najbardziej crashuje Firefoksa.

Mozilla wie o 0day’u, ale też nie dostała szczegółów luki i kodu exploita. Evgeny widać hołduje akcji NO MORE FREE BUGS i na 0day’ach woli trzepać kasiorkę. Na e-mail od Mozilli ponoć nawet nie odpisał ;-)

Komu wierzyć?

W historii z exploitem w tle pojawia się jednak pewien problem… Na tym samym forum, na którym ogłoszono 0day’a w Firefox 3.6 znaleźć można wypowiedź osoby, która kupiła najnowsze Vuln Disco 9.0 i twierdzi, że exploit nie działa…

I komu tu wierzyć? Anonimom, co za 0day’a zapłacili i mówią że nie działa, czy specom z Secunii, którzy 0day’a nie widzieli, ale twierdzą, że działa? :-)