Mozilla Foundation ha publicado nuevas versiones
de sus productos (24 para Firefox y Thunderbird, 2.12 para Seamonkey). En
esta ocasión se corrigen 19 fallos de
seguridad agrupados en 17 boletines, 7 de los cuales se consideran de
importancia crítica. En esta versión se deja de dar soporte a las Listas de
Revocación de Certificados.
Entre los siete boletines
calificados como de importancia crítica y los cuatro de importancia alta se
cubre un total de 13 vulnerabilidades.
Todas estas permiten la ejecución de
código arbitrario de manera remota como
consecuencia de fallos de diversa naturaleza, y algunas permiten además otros
impactos.
El resto de boletines tratan
vulnerabilidades de carácter moderado, que permiten el acceso a información
sensible del sistema, el salto de restricciones de seguridad o la denegación de
servicio. La gran mayoría de estos boletines afecta a los tres sistemas
actualizados, aunque algunos no son aplicables a Thunderbird y Seamonkey.
Los boletines MFSA-2013-84 y
MFSA-2013-87 en particular afectan únicamente a la versión de Firefox para
sistemas Android. El primero trata un sistema para evadir la política del mismo
origen en ficheros locales, utilizando para ellos el protocolo file:// junto
con enlaces simbólicos para conseguir acceso a ficheros del sistema o realizar
ataques cross-site scripting (XSS). El segundo permitiría la ejecución de
código malicioso o el acceso a los datos del navegador al cargar una librería
compartida, pero para ello es necesario la instalación de programas maliciosos
y no se puede provocar a través de contenido web.
A partir de esta versión se
elimina de la interfaz gráfica el acceso a la gestión de las listas de
revocación de certificados (CRL) en Firefox. Esta funcionalidad seguirá siendo
usada por el navegador, pero se delega la gestión de las CRL a las librerías
NSS, pudiéndose gestionar a través de la herramienta crlutil. Esto forma parte
de un movimiento de Mozilla hacia un mecanismo que recoja la información de los
certificados revocados directamente de las CA intermedias.
Más información:
Mozilla Foundation Security
Advisories
Fuente:
http://unaaldia.hispasec.com/2013/09/nuevas-versiones-de-firefox-thunderbird.html
Comentarios
Publicar un comentario