Firefox Quicktime sikkerheds problem lukket

Firefox Quicktime sikkerheds problem lukket

On his blog Petko D. Petkov reported that QuickTime Media-Link files contain a qtnext attribute that could be used on Windows systems to launch the default browser with arbitrary command-line options. When the default browser is Firefox 2.0.0.6 or earlier use of the -chrome option allowed a remote attacker to run script commands with the full privileges of the user. This could be used to install malware, steal local data, or otherwise corrupt the victim's computer.

The fix for MFSA 2007-23 was intended to prevent this type of attack but QuickTime calls the browser in an unexpected way that bypasses that fix. To protect Firefox users from this problem we have now eliminated the ability to run arbitrary script from the command-line. Other command-line options remain, however, and QuickTime Media-link files could still be used to annoy users with popup windows and dialogs until this issue is fixed in QuickTime.

This QuickTime issue appears to be the one described by CVE-2006-4965 but the fix Apple applied in QuickTime 7.1.5 does not prevent this version of the problem.

Workaround

Disabling JavaScript in the browser does not protect against this attack; in vulnerable versions scripts passed through the -chrome option would be executed regardless of the JavaScript setting for web content, much as interpreters for languages such as perl and Python execute scripts passed on the command line. The NoScript add-on, however, has provided protection against this class of attack since the cross-browser vulnerabilities described by MFSA 2007-23 were discovered. 

Fixed in: Firefox 2.0.0.7

 
Firefox 2.0.0.7

Link: Mozilla

Skrevet af axel den 20. Sep 2007. Nyheden er læst 1298 gang(e).

Del med dine venner

     

0 kommentarer
Skriv kommentar til nyheden Kommentarer til nyheden fra Facebook

 

ASUS ROG Gladius II gamermus

Vi skal i dag se på en ny mus fra ASUS, deres ROG Gladius II mus. ASUS er kendt for deres Republic of gamers serie a

Læs Mere

ASUS Cerberus Mech RGB gaming keyboard

Vi skal i dag se på et mekanisk keyboard fra ASUS, der går under navnet Cerberus Mech RGB. Som navnet antyder

Læs Mere

Seasonic PRIME Titanium Fanless 600 watt

I takt med at strømforsyninger bliver mere og mere effektive, betyder det også at varme udviklingen falder. D

Læs Mere

Cooler Master MasterKeys MK750

Mekaniske gamer tastaturer... Vi kender alle sammen til dem, og mange af os ejer også et. Cooler Master er nu p&arin

Læs Mere

JBL Under Armour Sport Wireless Heart Rate

Når to store giganter vælger at gå sammen, for at bringe det bedste fra to verdener ind i ét prod

Læs Mere

ASRock Fatal1ty X299 Professional Gaming i9 XE

Så er ASRock på banen igen med et bundkort i X299 serien, som faktisk ligner et k

Læs Mere

Corsair Hydro Series H80i v2

Nyt år, nyt hår - Vi har sendt vores gamle Haswell testrig på pension og har skiftet den ud med Ryzen. V

Læs Mere

TP-Link Deco M5 Mesh Wi-Fi Router

Mesh Wi-Fi systemer har typisk været en dyr affære primært brugt på skoler, arbejdspladser og lign

Læs Mere

 

Nyeste Videoer og Trailers

Seneste nyheder

Guardians of the Galaxy 3 får premiere i 2020

De næste to år kommer i den grad til at stå i Marvels tegn, når det kommer til film. Derfor kan det heller ikk
Læs Mere

Sony gør klar til spændende smartphone-lancering under MWC

Sony planlægger at løfte sløret for en helt ny smartphone under det kommende Mobile World Congress 2018.
Læs Mere

Western Digital G-Speed Shuttle NAS lanceret

Presser WD sig ind på delvist ukendt territorium med deres nye Western Digital G-Speed Shuttle. Forkert er det
Læs Mere

Ducky Blade Air tastaturet er udstyret med de nye Cherry MX Low Profile RGB switche

I går omtalte vi Ny Cherry MX low profile RGB keyboard switch introduceret, og nu er det første tastatur bleve
Læs Mere

Netflix øjner samarbejde med Nintendo Switch - Nintendo siger måske

Informationerne er gået i hver sin retning den seneste tid, men nu forlyder det at Netflix alligevel øjner mul
Læs Mere

Crucial MX500 Premium 2.5 tommer SSD frigivet

Med tidligere annoncering under CES, har Crucial nu søsat deres nye MX500 solid state drive (SSD) fra dagsdato
Læs Mere

Sharp starter masseproduktion af OLED skærme

Med en snarlig opstart af en masseproduktion inden for OLED melder Sharp sig ind i kampen om smartphone skærme
Læs Mere

Kære Windows 8.1 bruger, du er officielt overladt til dig selv

Microsoft har officielt afsluttet deres mainstream support af Windows 8.1, og dermed afslutter de deres second
Læs Mere
Partner sider
Indsend nyhed
Har du fundet en fed nyhed så indsend den så alle andre på Tweak.dk kan få glæde af den.