The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Обновление Tor Browser 6.0.7 и Firefox 50.0.2 с устранением 0-day уязвимости

30.11.2016 23:09

Разработчики анонимной сети Tor представили экстренный выпуск развиваемого проектом web-браузера Tor Browser 6.0.7, ориентированного на обеспечение анонимности, безопасности и приватности. В новой версии устранена критическая уязвимость, о которой сообщалось утром, которая уже активно используется для деанонимизации пользователей браузера. Всем пользователям Tor Browser рекомендовано незамедлительно установить обновление.

Из дополнительных сведений сообщается, что проблема вызвана уязвимостью в коде вывода SVG-анимации, и для блокировки эксплоита необходимо отключить как JavaScript, так и поддержку SVG, что производится в Tor Browser при активации переключателя обеспечения высокого уровня безопасности. Эксплоит специфичен для Windows, однако сама уязвимость проявляется также в macOS и Linux.

Дополнение: Доступны выпуски Firefox 50.0.2 и 45.5.1 с устранением уязвимости CVE-2016-9079 для которой публично доступен рабочий эксплоит, позволяющий организовать выполнение кода в системе.

  1. Главная ссылка к новости (https://blog.torproject.org/bl...)
  2. OpenNews: Предупреждение об атаках на Tor Browser с применением неисправленной уязвимости
  3. OpenNews: Выпуск дистрибутива Tails 2.7 и web-браузера Tor Browser 6.0.6
  4. OpenNews: В Tor Browser 6.0.5 устранена уязвимость, позволяющая обойти привязку сертификатов
  5. OpenNews: Выпуск Tor Browser 6.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/45595-torbrowser
Ключевые слова: torbrowser, tor
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (31) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 00:27, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В соседней теме отметились уже
     
  • 1.2, Аноним (-), 00:47, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    A Tails-то только обновился..
    Вот незадача
     
     
  • 2.29, Аноним (-), 12:15, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Уже выпустили 7.0.1 с исправлением.
     
     
  • 3.30, Аноним (-), 12:16, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Уже выпустили 7.0.1 с исправлением.

    Имелось в виду "2.7.1".

     

  • 1.3, th3m3 (ok), 02:00, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А в Firefox когда пофиксят?
     
  • 1.4, Аноним (-), 02:08, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да, 3 минуты как обновился фокс, до 5.0.2
     
  • 1.6, Меломан1 (?), 04:28, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    Оперативненько среагировали. Теперь можно заходить на extensions.gnome.org, только на это и годится Firefox.
     
     
  • 2.18, F (?), 10:26, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Ты лучше сразу на хакер.ру иди, пока на это ты только и годишься )
     

  • 1.7, Аноним (-), 04:47, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Очередная ошеломительная победа файрфокса. Впрочем, ничего нового.
     
  • 1.8, arka (ok), 07:07, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Я правильно понимаю, что, судя по https://bugzilla.mozilla.org/show_bug.cgi?id=1321066#c73, следует ждать 50.0.3 ?
     
  • 1.9, Аноним Анонимович Анонимов (?), 08:57, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    29.11 50.0.1 критическая
    30.11 50.0.2 0-day

    #

    PS: От былого огнелиса осталось только название.

     
     
  • 2.10, Аноним (-), 09:44, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Дааа и солнце уже не то и трава какая то не зеленая..
    А зима то вообще как не зима!
    А машины! Напихали туда "мозгов", так они ж не едут..
    Говеная электроника все портит.
     
     
  • 3.34, Аноним (-), 18:06, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Дааа и солнце уже не то и трава какая то не зеленая..

    Учитывая естественное смещение спектра, так оно и есть )

    > А машины! Напихали туда "мозгов", так они ж не едут..
    > Говеная электроника все портит.

    Все верно.
    Правда, при этом почему охотно забывают, что такие знакомые и надежные технические решения "без мозгов" (вернее, не полагающиеся полностью на электронику) вылизывали десятилетиями.
    А вот если взять и посадить среднестатичтического современного водителя опеннета в какой-нибудь грузовичок сороковых-пятидесятых, то далеко не факт, что он вообще стронутся с места сумеет. Зато уверенно можно утверждать, что бибика через максимум пару сотен километров превратиться в просто тяжелую телегу. Про первые серийные авто вообще лучше не заикаться )


     
  • 2.11, Аноним (-), 09:45, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Удивляет ваше нытьё.
    Дыры фиксятся? Фиксятся.
    У вас за спиной стоит кто-то с палкой и следит, чтобы вы пользовались именно лисой? Думаю, что нет.
    Они вам что-то обещали? - Нет.
    Они хотят с вас денег? - Нет.
    И напоследок: вы лично как-то принимаете участие, чтобы всё было гуд в плане бездырности лисы?

    "Чего ж тебе ещё надо, собака?" (с)

     
     
  • 3.15, iZEN (ok), 09:56, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • –6 +/
    > "Чего ж тебе ещё надо, собака?" (с)

    Я хоть и не собака, но скажу, что нужно в браузерах: избавление от ненужного мёртвого кода, который никогда не используется (это решено в Java 1.0 на уровне class-loader'а ещё  20 лет назад, а на С(++) это не будет решено никогда). Одновременно с этим решается проблема патчинга уязвимого кода на лету - во время работы браузера заменяется уязвимый модуль и перезапускается в работу только он, а не вся махина бинарщины. Устаревшие языки программирования линии C(++) способны на такое только с надстройками из других языков, расширяющих их функционал в той или иной доменной модели работы, будь то динамический Web (JavaScript, HTML5) и приложения на других языках.

     
     
  • 4.16, botman (ok), 10:05, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Ну всё, теперь только проприетарная Java вместо браузера... Ни тебе Firefox, ни тебе Chrome, ни тебе Edge. Только хардкор.
     
  • 4.27, аноним753 (?), 11:24, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    > Я хоть и не собака, но скажу, что нужно в браузерах: избавление
    > от ненужного мёртвого кода, который никогда не используется (это решено в
    > Java 1.0 на уровне class-loader'а ещё  20 лет назад, а
    > на С(++) это не будет решено никогда). Одновременно с этим решается
    > проблема патчинга уязвимого кода на лету - во время работы браузера
    > заменяется уязвимый модуль и перезапускается в работу только он, а не
    > вся махина бинарщины. Устаревшие языки программирования линии C(++) способны на такое
    > только с надстройками из других языков, расширяющих их функционал в той
    > или иной доменной модели работы, будь то динамический Web (JavaScript, HTML5)
    > и приложения на других языках.

    Вы наверно путаете виртуальную машину Java и программу в машинных кодах (пусть и написанную на C++) работающих одномоментно на данной машине? Тогда вопрос, а как виртуальная машина будет патчить себя на лету?

     
  • 4.35, Лютый жабисттт (?), 10:17, 02/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Кстати, в жабе уже есть pure java либа htmlunit, которая является безГУЁвым полноценным web-клиентом. Для тестов всяких и веб-скрейпинга....

    дык, ест оно примерно 150-200 мег на одного воркера. Что совершенно приемлемо и даже сравнимо с могучими сишными браузерами. Так что надо лишь гуй написать. Я бы использовал такое, а на пенсии и поконтрибьютил код 8)

     

  • 1.12, iZEN (ok), 09:45, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Исправление
    > данной уязвимости для Firefox, пока недоступно (https://www.mozilla.org/en-US/firefox/50.0.2/releasenotes/)
    > (уязвимость, для который публично доступен рабочий эксплоит, позволяет выполнить код в
    > системе). Эксплоит специфичен для Windows, однако сама уязвимость проявляется
    > также в macOS и Linux.

    FreeBSD неуязвима. (А то в последнее время чуть ли не каждый день нужно пересобирать порт Firefox из-за чужих проблем с безопасностью - заколебало, мягко говоря).

     
     
  • 2.13, Аноним (-), 09:49, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Срецифицен для Вин, как для самой популяроной ОС.
    Но есть оговорка, что другим не стоит расслабляться (не в этой статье).
     
  • 2.14, botman (ok), 09:54, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    rkhunter, chkrootkit, десктопный антивирус чего говорят? Или на вашем сервере только Firefox запущен?
     
  • 2.17, Орк (?), 10:21, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > FreeBSD неуязвима

    Вы из секты? Это https://www.freebsd.org/security/notices.html тогда что такое?

     
  • 2.19, Онанимус (?), 10:31, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    >FreeBSD неуязвима.

    Ишь ты! А я то думал, что у Змея Горыныча все bsd-like головы болят одномоментно...

     
  • 2.25, soarin (ok), 10:51, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > А то в последнее время чуть ли не каждый день нужно пересобирать порт Firefox из-за чужих проблем с безопасностью - заколебало, мягко говоря

    А зачем пересобирать на "неуязвимой" ОС, если в сабжевом обновлении значится только секурное исправление?

     

  • 1.20, EuPhobos (ok), 10:38, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Перезадам вопрос:
    У меня одного стали вкладки к мышки прилипать с выходом 50.0? Будто я перетаскиваю вкладку.
    А ещё вот такой прикол https://youtu.be/-1KOnnXjBJY
     
     
  • 2.22, Аноним (-), 10:43, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Эт нормально.
    Они чейчас работают над песочницами для каждой вкладки
     
  • 2.31, COBA (?), 15:26, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    У него скорее всего проблемы с памятью на компе. Проверил на 50, 50.0.1, 50.0.2 - везде ничего не валится.
     
  • 2.32, Аноним666 (?), 16:30, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    а без аддонов запускал?
     

  • 1.21, Аноним (-), 10:41, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Tor Project нанимает разработчика!

    Кому интересно - https://blog.torproject.org/blog/tor-project-hiring-developer

     
  • 1.26, Пердоля (?), 11:15, 01/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ну такие уязвимости только на компах бухгалтерш прокатывают.
     
     
  • 2.28, Аноним (-), 11:43, 01/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    У которых кроме ИЕ нет ничего?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру