Через браузер IE можно выполнить произвольный код в Firefox
13.07.2007
Эксперты по вопросам компьютерной безопасности из датской компании Secunia предупреждают об обнаружении опасной уязвимости в браузере Firefox последних версий.
Проблема, как сообщается, связана с методом обработки универсальных идентификаторов ресурса (Uniform Resource Identifier, URI). Дело в том, что Firefox при инсталляции автоматически прописывает в реестре операционной системы Windows обработчик URI вида "firefoxurl://". Это позволяет злоумышленникам при помощи сформированной специальным образом веб-страницы выполнить произвольный вредоносный код без ведома пользователя.
Для организации нападения необходимо, чтобы на компьютере наряду с Firefox был инсталлирован браузер Internet Explorer. В этом случае при помощи вредоносного веб-сайта злоумышленник может задействовать обработчик URI и заставить Internet Explorer запустить Firefox с последующим выполнением произвольного JavaScript-кода.
По данным Secunia, проблема затрагивает версии Firefox 2.0 и выше при использовании браузера на полностью пропатченных компьютерах с Windows ХР со вторым сервис-паком. Ситуация ухудшается тем, что браузер Internet Explorer, необходимый для организации атаки, установлен на многих компьютерах с Firefox, поскольку входит в стандартную поставку Windows.
Сообщество Mozilla.org подтвердило факт наличия проблемы и пообещало устранить ее в готовящейся к выпуску модификации браузера Firefox с индексом 2.0.0.5. Между тем, в Интернете уже появился пример вредоносного кода, позволяющего задействовать уязвимость. Впрочем, практических случаев эксплуатации дыры пока зафиксировано не было.
