Firefox dicht zero-day gat week eerder
Gepubliceerd: Dinsdag 23 maart 2010
Auteur: Jasper Bakker
Mozilla dicht een kritiek Firefox-gat vandaag in plaats van aanstaande dinsdag. De Duitse overheid waarschuwde de browser niet te gebruiken totdat het gat is gedicht.
Firefox 3.6.2 is per direct te downloaden. De update dicht een beveiligingsgat waarmee pc's op afstand zijn over te nemen en waarvoor al een maand exploitcode beschikbaar is. De patch stond oorspronkelijk gepland voor 30 maart, en zou dan uitkomen tegelijk met patches voor de 3.5-aftakking. Op die datum vervalt ook - na uitstel - de support voor de 3.0-reeks van Firefox.
Duitsland raadt Firefox af
De Duitse adviseerde Firefox niet te gebruiken tot versie 3.6.2 beschikbaar is. Dat advies is nu achterhaald door het vervroegde uitbrengen van de patch. De Duitse overheidsdienst BürgerCERT waarschuwde voor Firefox, zoals het dat eerder dit jaar deed met Internet Explorer.
Het lek in Firefox 3.6 is openbaar gemaakt door security-onderzoeker Evgeny Legerov. Mozilla heeft dat gat met moeite bevestigd gekregen, omdat Legerov lang niet bereikbaar was voor Mozilla. Uiteindelijk heeft de ontdekker zelf contact opgenomen. Door het lek kunnen machines met Windows XP en Vista worden overgenomen. Volgens NetApplications zakt het marktaandeel van Firefox al een aantal maanden achter elkaar, terwijl vooral Chrome groeit.
Nederland niet
De Nederlandse waarschuwingsdienst heeft het Duitse voorbeeld om Firefox af te raden niet gevolgd. Het verklaarde gisteren nog geen reden te zien om te waarschuwen. De dienst biedt sinds vandaag wel een informatiebulletin over Firefox 3.6.2. "Waarschuwingsdienst.nl adviseert je om deze updates te downloaden en te installeren", luidt de boodschap. Daarbij linkt het naar Mozilla's patch-overzichtspagina voor Firefox 3.6.
Eerder dit jaar kwam Waarschuwingsdienst.nl al terug op een advies over Internet Explorer. Het stelde in een security advisory naar aanleiding van het IE-lek waarmee Google is gehackt om Windows-gebruikers te beperken tot gebruikersrechten. In een tweede reactie aan Webwereld liet Govcert echter weten dat de advisory alleen bedoeld is als informatievoorziening, en niet als advies, wat die ochtend wel was medegedeeld.
Update:De 'te vroeg'-periode in de kop gecorrigeerd; 1 week ipv 2.
