Dans une précédente news, nous annoncions, à tort, une faille qualifiée de critique pour la dernière version 1.5 du navigateur Firefox. Explications et précisions.



Pour rappel, nous annoncions que cette faille concernait la base de données de l'historique de Firefox (history.dat), qui gère mal, voire pas, les pages web dont les titres sont extrêmement longs pouvant causer une saturation de mémoire tampon (buffer overflow) et entraîner la fermeture inopinée du navigateur.

Nous nous faisions alors l'écho de la firme de sécurité informatique Packetstorm Security qui avait posté le mercredi 7 décembre une preuve d'exploitation de cette "faille".

Selon John Bambenek, du SANS Internet Storm Center, "cette vulnérabilité a été testé, et elle fonctionne. De plus, aucun patch n'est pour l'instant disponible pour la contrer. On peut supposer que si une preuve d'exploitation a pu voir le jour, un code plus vicieux pourrait bientôt s'abattre sur les ordinateurs des internautes qui surfent sur Firefox, et on peut craindre des installations de logiciels malicieux."


Le site américain CNET News expliquait alors que cette faille pouvait être exploitée par une attaque de type DoS, et donc qu'il s'agisssait d'une faille assez sérieuse.

Sauf que quelques heures plus tard, le site Sécunia déclarait bien sur son site que cette faille pouvait être exploitée pour causer un DoS mais qualifiait la faille de non critique (le plus bas niveau d'ailleurs, 1 sur 5).


Suite à ces diverses annonces plus ou moins alarmistes, la Fondation Mozilla elle même s'en est mêlé en publiant un communiqué afin de rassurer ses utilisateurs, communiqué dont je vous propose la traduction ci-dessous :


Les titres longs conduisent temporairement à une non-réponse au démarrage du navigateur.

Les pages Web présentant des titres extrèmement longs (la preuve publiée  utilisait 2,5 millions de caractères) peut faire penser que Mozilla Firefox et la suite Mozilla semblent ne plus fonctionner au démarrage alors qu'ils sont en train de lire les données de l'historique de navigation. Le navigateur continuera finalement à fonctionner normallement, même si cela peut prendre plusieurs minutes sur un ordinateur lent. Cette lenteur au démarrage persistera tant que le titre long n'aura pas été supprimé du fichier de l'historique, ou tant qu'il n'aura pas éventuellement expiré.

Nous avons mené des investigations sur ce problème et avons trouvé qu'il n'y a pas de raison de déclarer que des variantes de cette attaque par déni de service peuvent provoquer un plantage exploitable, et aucune preuve de ceci n'a été apportée. Il ne semble y avoir aucun risque pour les utilisateurs hormis la lenteur au démarrage.


Voila, tout est dit, et surtout rectifié !
En conclusion, cette faille n'est pas critique, et hormis une certaine lenteur au démarrage du navigateur, n'entraîne aucun problème de sécurité.




Précisions sur la sécurité de nos navigateurs web :

Qu'on se le dise, Firefox reste un des rares navigateurs présentant le moins de failles de sécurité. Ainsi, selon Secunia, en 2005, Firefox 1.x a connu 22 vulnérabilités, et à ce jour seules 3 sont encore non corrigées et une partiellement, et leur niveau de dangerosité reste faible (maximum 3/5). En tout, depuis son lancement, Secunia a référencié 26 failles.
Ceci met bien en évidence la très forte réactivité de la Fondation Mozilla face aux problèmes pouvant affecter son navigateur.

Concernant Internet Exploreur 6.x, il y a eu 16 failles déclarées en 2005, dont 8 failles non corrigées et une partiellement. De plus, depuis le lancement d'IE 6.x, ce ne sont pas moins de 90 failles qui sont recensées, dont 22 non encore corrigées, certaines datant même de 2003... Deplus, certaines de ces failles non patchées sont qualifiées d'extrêmement critiques avec un niveau de 5/5.

No comment.