Nood-patch dicht kritiek gat in Firefox 10

De maker van de Firefox-browser is met een spoedupdate gekomen om het kritieke gat in zijn browser te dichten. Het lek maakt het voor een aanvaller mogelijk de browser te laten crashen en malafide code uit te voeren.

Ook in Thunderbird en Seamonkey

In een security advisory geeft Mozilla aan dat het lek zich niet alleen bevindt in Firefox 10, maar ook in mailapplicatie Thunderbird en in SeaMonkey. SeaMonkey is de all-in-one suite van Mozilla. Daarin zitten de laatste versie van Firefox en Thunderbird, maar bijvoorbeeld ook een RSS-lezer en IRC-cliënt. Thunderbird deelt componenten met Firefox.

Het kritieke beveiligingsgat zit in de functie 'ReadPrototypeBindings', die informatie achterlaat in een hash-table. Wanneer deze functie verkeerd wordt uitgevoerd, levert dat corrupte informatie op. Bij het uitlezen van die corrupte data kan de applicatie crashen. Bij zo'n crash kan het voor een aanvaller mogelijk zijn zelf code uit te voeren, zonder dat de gebruiker het merkt.

Niet in oudere versies

Mozilla wijst erop dat het lek zich alleen voordoet in versie 10 van de betreffende applicaties. Versie 9 en lager hebben geen last van de kwetsbaarheid. Mozilla is enige tijd terug overgestapt op sneller updaten en wil ook overgaan op automatisch updaten. De tiende versie van Firefox is eind vorige maand uitgekomen. Intussen is voor alle getroffen applicaties versie 10.0.1 beschikbaar. Die versie patcht dit lek, dat door Mozilla is aangemerkt als 'kritiek'.