Olimpo Informatico

[Matrix_II]

Mozilla/5.0 (Windows; U; Windows NT 5.1; it-IT; rv:1.7.5) Gecko/20041110 Firefox/1.0
Facendo lo scroll mi viene visualizzata una pagina nuova, la quale, con URL vuoto; chiede quale file o URL bisogna aprire.. ???!!! e non crea nessun file..

[Michele Cilfone]

Ho provato la dimostrazione della falla con FireFox 1.0 su RedHat 9.0, ma nessun file è stato creato nella mia home. Piuttosto il browser si apre su di una funzionalità strana, all'indirizzo
chrome://browser/content/openLocation.xul
con una list-box che mi invita ad aprire un file html.
Che cosa significa?

[jachi]

L'ultimo aggiornamento all'articolo recitava "Le segnalazioni dei lettori e i test condotti personalmente indicano che anche la versione 1.0.1 non è del tutto immune a questa falla". Poi mi vado a leggere i commenti e scopro che al 90% dei lettori non è successo niente nemmeno con la versione 1.0.
Che "Falla Pericolosa!"....c'è proprio da stare attenti!

[Jenner Fusari]

>Diciamo che siccome ormai e' abbastanza nota la
>mia posizione pro-open, mi posso permettere ogni
>tanto di fare qualche richiamo alla realta' ;-)

Mi sembra quasi doveroso essere un po' piu' realisti.

Sei fin troppo buono nel dire che "la maggior parte dei milioni di scaricatori e utenti di FF non ha esaminato il sorgente prima di adottarlo" piuttosto chiederei chi puo' farlo!
Chi puo' esaminare un sorgente composto di oltre 41000 files per un totale di oltre 200MB di codice? Sorgenti che comprendono parsers SGML, XML, CSS, Javascript... l'implementazione del DOM, gli interpreti del codice di scripting... anche immaginando che un singolo possa avere una tale visibilita' e capacita', il codice sorgente non ci puo' informare di quali potenziali porcherie sara' in grado di fare una persona che si mette a smanovrare con Javascript e lo XUL (tanto per fare un esempio)... e quando su Firefox 1.1 troveremo le tecnologie E4X (ECMAScript su XML) chi potra' ponderare quali intrichi di codice si potranno cavar fuori?

Se poi c'e' qualcuno che i sorgenti di Firefox li ha controllati (sono qui - http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/1.0.1/source/firefox-1.0.1-source.tar.bz2 - per chi volesse cominciare oggi a darci una letta) e si era bene o male accorto che qualcosa non andava, me lo faccia sapere: mi schiaffeggero' per il resto della giornata! :)

Penso che per l'utente (ad esclusione di pochi casi che vanno peraltro circostanziati) Open e Closed source offrano le medesime sicurezze e insicurezze (per questo trovo che sia meglio stare svegli sempre e comunque - vedo il lucchetto chiuso e quindi penso che la connessione e' sicura... sono sempre affascinato da questa iper-fiducia che si da a quanto il software mostra o scrive)... quello che cambia, che fa la differenza (e che mi ha spinto verso Linux e l'Open Source) e' la licenza di quanto installo, a chi appartiene e da chi dipende la fruibilita' dei _miei_ dati.

Ciao
Jenner

[Michele M. Gaetani]

Ho fatto la prova relativa alla Falla di Firefox 1.0. Ho XP aggiornato con SP2, e non succede nulla. Preciso che uso Firefox 1.0 assieme a Privoxy e Tor (entrambi in esecuzione all'inizio del test: Tor con la sua finestra dos già aperta). Saluti. Michele

[federico]

ciao
anche a me si apre una pagina mai vista "openLocation.xul"
niente file su c:
winxp sp1 + ff 1.0.1

[happy]

e' chiaro che la falla e' grave su win: e' l'os il punto debole, mentre sul pinguino le variabili per cui la cosa divenga realmente seria sono eccessivamente troppe (infatti a un utente medio come me, con una media distribuzione installata, non accade nulla di strano...a parte un errore del browser che e' ben poca cosa.

[Alekos]

Inoltre per chi ha Mandrake è già uscita la versione 1.0.1 scaricabile (come la 1.0) da un mirror cooker. Mi ha dato problemi in fase di installazione (nulla di grave cmq, cambia l'eseguibile a cui è associata l'icona nel menù) ma anche in questo caso la pagina non viene visualizzata e compare la finestra che richiede di inserire un url

[patrick]

Ho Firefox 1.0.1 e andando sulla pagina indicata nell'articolo e muovendo la barra di scorrimento viene
visualizzata un pagina che richiede di inserire l'url o specificare il file che si vuole aprire:(

[Alessandro M.]

A me non succede nulla di quello che viene riportato nella pagina del test rimane lo scrolling bloccato e nulla di più nella mia home non viene creato nessun file

[Aldo Sencio]

Ho fatto il test per linux con la 1.0, ma l'estensione
Linux, gia` utile di suo, non ha permesso il
funzionamento dell'exploit.

[Moreno T]

La versione di Firefox, installata dal pacchetto scaricato da mozila.org, è:
Mozilla/5.0 (X11; U; Linux i686; it-IT; rv:1.7.6) Gecko/20050223 Firefox/1.0.1
Flash player 7 e javascript attivati.
Scroll con la rotellina non funziona, clicando sulla barra di scorrimento compare nella barra di stato "chrome://browser/content/openLocation.xul", e dopo aver mosso il mouse l'icona passa dalla manina a quella della copia di un documento, quindi al rilascio del pulsante si apre una finestra di dialgo per l'apertura di un URL .
Nessuna traccia del file booom.txt

[ales19]

bene, oltre che sulla ubuntu (esito negativo) ho provato la pagina "test" anche con firefox 1.0.1 (inglese) su winxp sp1. nessun booom.bat all'orizzonte. Linux credo che non centri nulla, anche perche' ho fatto una prova disabilitandolo.
quindi piu' che una falla mi sembra una mezza bufala, o meglio una buFalla.. :)
e dopo questa, e' meglio che vada a dormire :)

[Tassoman]

Non ho nessun file bat in C:

Nelle preferenze le mie opzioni javascript attivate sono solo la 1 e la 5:

Muovere ridimensionare finestre e
Cambiare immagini

[Neff]

Nonostante questa falla di sicurezza, firefox rimane la migliore soluzione alternativa ad IE, che è - e sfido chiunque a dire il contrario - comunque più debole. Usare un'alternativa Open Source non garantisce l'invulnerabilità del browser, ma resta il fatto che un progetto opensource ha come obiettivo, nel caso di Firefox, la creazione del miglior browser possibile. Questa falla verrà sicuramente chiusa, proprio perchè l'obiettivo non è quello di far soldi (per cui quando non conviene è inutile fare più dello stretto indispensabile) ma quello di realizzare un software che funziona. Prima di Firefox, IE spadroneggiava nonostante la mancanza di features e le onnipresenti bug, usate firefox e state sicuri che qualora venissero scoperta altre bug simili, queste verranno fixate in tempo record!

[Alberto]

Non esiste nulla di cui ci si può fidare ciecamente! Ma ricordiamoci tutti che in ambito OpenSource gli utenti sono tutti "beta testers" e spesso programatori sparsi per il mondo, con volontà e capacità di risolvere i problemi del caso e conseguentemente di evolvere i sistemi informatici a gran velocità! Non cadiamo nell'errore di credere a quelli che ci mettono davanti agli occhi un solo albero, dicendo che è quello che ci da tutta l'aria che ci serve!... Magari(magari?) nascondendoci allo sguardo la grande e fitta foresta che era già cresciuta intorno e dietro! L'OpenSource E' UMANO! Il monopolio stile M$ è deteriore e socialmente pericoloso.

[Doriano]

Winxp sp2 e Firefox 1.0.1
[quote]Cliccando sulla pagina dimostrativa viene visualizzata richiesta di apertura del URL remoto.[/quote]

Succede anche a me.

[Valerio]

Ho testato la pagina esca ma niente file autogenerato nella home directory dell'utente.
Solo una pagina che chiede quale file o url aprire.
Vulnerabilità NON riscontrata.

Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.6) Gecko/20050301 Firefox/1.0.1 (Debian package 1.0.1-1)

[Ciccio]

Sbagliare è umano e l'informatica è una scenza empirica. Ma, almeno, nel caso dell'open source non è necessario sborsare soldi. Non ci può essere soddisfazione nel PAGARE per avere software bacato.

[mik]

A me (FF 1.01 +javascript)come previsto il cursore si modifica in una manina e dopo averlo mosso mi appare chrome://browser/content/openLocation.xul
per aprire un'Url od un file. Nessuna presenza di booom.bat,nessun blocco di pagina.