Vlákno názorů ke zprávičce Firefox vypíná uživatelům doplňky kvůli chybě s ověřením, na opravě se pracuje od tomk - A veškerá bezpečnost skrze doplňky jako ublock,nosript a...
-
ohanis se bezpecnosti a udelas bezpecnosti diru vypnutim kontroly podpisu ;-)
ten postup co uvadi Michal je cistejsi a take funguje, vcetne overeni na FF v (jiz nepodporovanem, tedy klasickehj update balicku by stejne nedosel) Ubuntu14.04...
https://www.mozilla.cz/zpravicky/firefox-kvuli-chybe-vypina-doplnky-mozilla-pracuje-na-rychle-naprave/ -
Jakub Valenta (neregistrovaný)
Mě teda spíš připadají ty studie jako bezpečnostní díra https://wiki.mozilla.org/Firefox/Normandy/PreferenceRollout.
-
Tady se ukazuje, jaká je to velká výhoda, když "jeden vládne všem".
BTW:
...
* We’re aware that some users are reporting that their extensions remain disabled with both studies active. We’re tracking this issue on Bugzilla in bug 1549078. (May 4, 12:03 EDT)
* Clarified that the Studies fix applies only to Desktop users of Firefox distributed by Mozilla. Firefox ESR, Firefox for Android, and some versions of Firefox included with Linux distributions will require separate updates. (May 4, 12:03 EDT) -
to je neco jineho, u nepodporovaneho 14.04 ktere neni vystavene do internetu by musela bejt dira v FF, coz nemusi, ale dobrovolne vypnuti kontroly podpisu doplnky je jiste ze si uzivatel tu diru SAM udela...
druha vec je ze o 14.04 sem pro zajimavost psal ja, ale tomkcz kterej si overeni podpisu dobrovolne vypnul ji jiste nepouziva (ani se nezminil o ESR) a pritom uz v te dobe MEL moznost povolit (na chvili) studie ktere by nainstalovali oficialni opravu, BEZ nutnosti vypinat overeni podpisu, a po aplikaci toho patche lze studie opet vypnout... jeho nevhodne reseni nechava diru stale a patch se mu dostane az teprve s realnou aktualizaci baliku...
-
> u nepodporovaneho 14.04 ktere neni vystavene do internetu by musela bejt dira v FF, coz nemusi
Co myslíte tím nevystavením do Internetu? Schování za NAT+firewall?
* Je jen otázkou času, než se nějaká najde.
* Lze útočit i na jiné programy, například LibreOffice, čtečku PDF nebo archivátory. Stačí nabídnout zdánlivě nevinný soubor ke stažení.
* Útok může jít i skrze DNS: https://www.nbs-system.com/en/blog/glibc-dns-vulnerability-how-does-it-work/Mimochodem, schování za NAT+firewall může mít celkem minimální význam. Na desktopu nejspíš nebudu mít spuštěný žádný server dostupný mimo localhost, takže NAT+firewall mě ochrání snad jen přek některými jadernými zranitelnostmi, které nevyžadují otevřený port. A to útok nesmí přijít zevnitř sítě.
