Firefox: Mozilla uvolnila záplaty pro 12 zranitelností

Dvě třetiny zranitelností opravených v patchi Tuesday jsou Mozillou považovány za kritické. Pro uživatele tedy představují největší hrozbu a je velmi pravděpodobné, že již mohlo dojít k jejich zneužití. Určité riziko představují i další dvě zranitelnosti ze zbývající čtveřice, pouze dvěma chybám tak Mozilla přisuzuje malý význam.

Jedna z oprav pro Firefox řeší „binary planting“, pro který se také používá označení „DLL load highjacking“. Tento typ útok využívá toho, že mnoha Windows aplikacím stačí specifikovat pouze jméno knihovny DLL a nevyžadují jejich kompletní cestu. Uživatel je tak nalákán na stáhnutí škodlivého souboru, který nese stejné jméno jako požadovaná DLL knihovna.

Binary planting není žádnou novinkou. První zprávy o tomto útoku se objevily zhruba před deseti lety. Samotný Microsoft byl na jeho rizika upozorněn v srpnu 2009. Obdobnou techniku útoku používá nyní červ Stuxnet, který v posledních týdnech vyvolal velké pozdvižení především v íránském prostoru.

Od Mozilly jde v tomto případě spíše o preventivní kroky. DLL highjacking totiž není až tak hrozbou pro Firefox, jako spíš pro Internet Explorer. Uživatelé tohoto prohlížeče jsou vůči tomuto typu útoku nejnáchylnější. Především kombinace IE6 či IE7 a operačního systému Windows XP je podle expertů pro útočníky nejpříznivější. Více o tomto tématu se můžete dočíst v článku Uživatele IE jsou vystaveni riziku útoků na DLL knihovny.

Další aktualizace z patche Tuesday opravují CSS zranitelnosti a řeší také problém s certifikáty SSL. Pokud vám prohlížeč nenabídne aktualizaci 3.6.11 automaticky, můžete si ji sami stáhnout na stránkách výrobce.