Firefox Quicktime sikkerheds problem lukket

Firefox Quicktime sikkerheds problem lukket

On his blog Petko D. Petkov reported that QuickTime Media-Link files contain a qtnext attribute that could be used on Windows systems to launch the default browser with arbitrary command-line options. When the default browser is Firefox 2.0.0.6 or earlier use of the -chrome option allowed a remote attacker to run script commands with the full privileges of the user. This could be used to install malware, steal local data, or otherwise corrupt the victim's computer.

The fix for MFSA 2007-23 was intended to prevent this type of attack but QuickTime calls the browser in an unexpected way that bypasses that fix. To protect Firefox users from this problem we have now eliminated the ability to run arbitrary script from the command-line. Other command-line options remain, however, and QuickTime Media-link files could still be used to annoy users with popup windows and dialogs until this issue is fixed in QuickTime.

This QuickTime issue appears to be the one described by CVE-2006-4965 but the fix Apple applied in QuickTime 7.1.5 does not prevent this version of the problem.

Workaround

Disabling JavaScript in the browser does not protect against this attack; in vulnerable versions scripts passed through the -chrome option would be executed regardless of the JavaScript setting for web content, much as interpreters for languages such as perl and Python execute scripts passed on the command line. The NoScript add-on, however, has provided protection against this class of attack since the cross-browser vulnerabilities described by MFSA 2007-23 were discovered. 

Fixed in: Firefox 2.0.0.7

 
Firefox 2.0.0.7

Link: Mozilla

Skrevet af axel den 20. Sep 2007. Nyheden er læst 1322 gang(e).

Del med dine venner

     

0 kommentarer
Skriv kommentar til nyheden Kommentarer til nyheden fra Facebook

 

Cooler Master RGB Hard Gaming Mouse Pad

Der var en gang hvor en musemåtte blot var en kedelig stof eller plastik ting, man havde liggende på sit skriv

Læs Mere

FitBit Charge 2 fitness tracker

Vi byder i dag på en test til de mere fitnessinteresserede brugere på vores side. Sig pænt goddag t

Læs Mere

Arozzi Mezzo V2 - Gaming Stol

Mange og lange timer foran computeren, kræver selvfølgeligt et godt sted at slå ballerne ned. Med

Læs Mere

Razer Panthera Arcade stick

Vi har igen Razer på besøg, i dag i en lidt mere extraordinær udgave, med deres Street Fighter special

Læs Mere

Enermax Revolution SFX 550 Watt Strømforsyning

Maksimal performance, i minimal indpakning. Dette kunne godt være salgsordene for PSU'en vi skal se på i denne

Læs Mere

AMD Ryzen 2 - 2700X, 2700, 2600X og 2600 Gaming benchmarks

Det er efterhånden noget tid siden vi blev præsenteret for AMD Ryzen 2 familien. I første udspil modtog

Læs Mere

Logitech G840 Musemåtte

I denne test skal vi hílse på et sandt monster af en musemåtte. G840 fra Logitech måler hele 40 x

Læs Mere

Enermax Platimax D.F. 750 Watt Strømforsyning

Platimax D.F. 750 Watt er en strømforsyning i den høje ende af skalaen. 80 Plus Platinium certificering, l&a

Læs Mere

 

Nyeste Videoer og Trailers

Seneste nyheder

Her er den nye Razer Core X

Gaming hardware and perifer producenten Razer, har sammen med lanceringen af Razer Blade 15, også lanceret en
Læs Mere

Razer lancerer ny Blade 15 i Danmark

Razer kommer endelig ind på det danske marked med deres laptops og vi har fået et eksklusivt kig på deres nye
Læs Mere

NVIDIA udvider deres budget GPU line-up med et nyt 3GB GeForce GTX 1050 grafikkort

Selvom markedet higer efter nye NVIDIA grafikkort, så mangler vi stadig et officielt udspil fra producenten. A
Læs Mere

Pressemeddelse: Razer Blade 15 er verdens mindste 15.6 tommer gaming laptop

Vi har allerede dækket Razer Blade 15 lanceringen, så kort fortalt blandt andet bringer Razer Blade til Danmar
Læs Mere

NVIDIA GeForce GTX 1180 lanceres 15 juni

I første omgang skulle vi vanen tro for deres Founders Edition versioner at se først, og det spænde stik i NVI
Læs Mere

Her er 24 minutters H1Z1 Battle Royale PS4 gameplay

Hvis du troede H1Z1 var på vej i graven, er her et godt bevis på det modsatte. PlayStation Underground teamet,
Læs Mere

Acer Predator X27 4K HDR G-Sync monitor lanceret til $2,000

Med et prisskilt i den dyre ende, har Acer lanceret deres Predator X27 4K HDR G-Sync monitor. Dermed forstærke
Læs Mere

Tweak News - Uge 20 - sommer giveaway fra Tweak redaktionen

Tweak News starter ugen op med et frisk afsnit af Tweak News, hvor vi blandt andet tager et kig på Nvidia rygt
Læs Mere
Partner sider
Indsend nyhed
Har du fundet en fed nyhed så indsend den så alle andre på Tweak.dk kan få glæde af den.