Nouveau bug de sécurité

[Ptit Lutin]

Un nouveau bug de sécurité a été signalé par le site Secunia:

http://secunia.com/advisories/12403/
http://secunia.com/advisories/12392/

Le bug affecte pour le moment Netscape 7.2, Mozilla 1.7.2 et Firefox 0.9.3 sur MacOS X mais il est possible que les autres versions soient touchées.

Cette faille permettrait visiblement à un site non certifié et mal intentionné de récupérer les données contenues dans un autre onglet. Le problème ne se présenterait que lorsque le plug-in Java est utilisé.

Secunia conseille:

- de désactiver le support de Java
- d'ouvrir les sites non certifiés dans une autre fenêtre

Sur BugZilla, c'est Le bug 162134 qui est concerné. (problème connu depuis le 10/08/2002 )

[jv2759]

C'est un bug mozilla ou un bug java?

Il faut qu'il y est java dans les deux pages ou uniquement dans celle qui pirate?

[Ptit Lutin]

C'est un bug mozilla ou un bug java?

Je ne sais pas précisément... D'après les commentaires laissés sur Bugzilla, cela toucherait également les plug-ins RealPlayer et QuickTime.

Sont-ce les plug-ins les fautifs ou la gestion de ces mêmes plug-ins ?... je n'en sais pas davantage.

Il faut qu'il y est java dans les deux pages ou uniquement dans celle qui pirate?

Là encore, rien de précis mais peut-être Java dans celle qui se fait pirater (puisque apparemment c'est le plug-in qui laisse des informations).

Le mieux c'est d'attendre l'annonce officielle sur Mozillazine (qui ne devrait pas tarder à mon avis). Les choses seront certainement éclaircies

[jv2759]

Eventuelement cela peux effectivement provenir d'un double bug, un dans la gestion des plugin est un dans java.

Le premier ferais que tout les plugin partagerais un peux les info. L'un accedant au info de l'autre. Ce qui s'expliquerais du fait que l'on puisse crée deux objects/embled un pour afficher une video et le second pour la controler. Donc dans ce cas besoin de communiquer.

Le second bug serais que java puisse par l'intermediaire de ce lien aller récupérer des info la ou il ne devrais pas...

[Ptit Lutin]

Je ne connais pas suffisamment les entrailles des plug-ins pour me prononcer... mais effectivement là où il y a communication, il y a risque de fuite... (surtout que l'on ne sait pas vraiment ce qui transite )

Peut-être que ça permettra d'accélèrer l'adoption de la nouvelle interface des plug-ins...

[jv2759]

[Reve]Si ce nouveaux suport pouver devenir universelle et remplacer activex...[/Reve]

...

Soupire...