Разработчики Mozilla опубликовали (https://blog.mozilla.com/security/2010/10/26/critical-vulner.../) экстренное уведомление, указывающее на наличие в Firefox 3.5.x и 3.6.x неисправленной критической "0-day" уязвимости, для которой зафиксированы факты эксплуатации. Уязвимость используется в сети для распространения троянского ПО, которое активируется на машине пользователя при открытии web-страницы, содержащей специально оформленный блок кода. Информация о процессе исправления ошибки и ее сути пока доступна (https://bugzilla.mozilla.org/show_bug.cgi?id=607222) только для зарегистрированных разработчиков Mozilla.

Примечательно, что троянское ПО распространяется через вполне благонадежные сайты, атакованные злоумышленниками. Например, атакующий код размещен на сайте Нобелевской премии мира, который временно занесен в черный список Firefox. Так как вредоносный код остается на некоторых сайтах в сети, пользователям рекомендуется до выхода официального ...

URL: https://blog.mozilla.com/security/2010/10/26/critical-vulner.../
Новость: http://www.opennet.me/opennews/art.shtml?num=28436

• В сети зафиксирован вредоносный код, поражающий не исправлен...,dimqua, 19:20 , 27-Окт-10
• В сети зафиксирован вредоносный код, поражающий не исправлен...,тоже Аноним, 19:34 , 27-Окт-10
• В сети зафиксирован вредоносный код, поражающий не исправлен...,ozs, 19:35 , 27-Окт-10
  • В сети зафиксирован вредоносный код, поражающий не исправлен...,none_first, 20:30 , 27-Окт-10
• В сети зафиксирован вредоносный код, поражающий не исправлен...,Аноним, 19:54 , 27-Окт-10
  • В сети зафиксирован вредоносный код, поражающий не исправлен...,тоже Аноним, 22:54 , 27-Окт-10
    • В сети зафиксирован вредоносный код, поражающий не исправлен...,uldus, 23:24 , 27-Окт-10
      • В сети зафиксирован вредоносный код, поражающий не исправлен...,sHaggY_caT, 00:02 , 28-Окт-10
      • В сети зафиксирован вредоносный код, поражающий не исправлен...,тоже Аноним, 00:07 , 28-Окт-10
        • В сети зафиксирован вредоносный код, поражающий не исправлен...,XoRe, 13:49 , 28-Окт-10
          • В сети зафиксирован вредоносный код, поражающий не исправлен...,тоже Аноним, 19:14 , 28-Окт-10
• В сети зафиксирован вредоносный код, поражающий не исправлен...,Аноним, 21:09 , 27-Окт-10
  • В сети зафиксирован вредоносный код, поражающий не исправлен...,Аноним, 21:22 , 27-Окт-10
• В сети зафиксирован вредоносный код, поражающий не исправлен...,alexmest, 02:51 , 28-Окт-10
  • В сети зафиксирован вредоносный код, поражающий не исправлен...,sanDro, 07:43 , 28-Окт-10
  • В сети зафиксирован вредоносный код, поражающий не исправлен...,XoRe, 13:50 , 28-Окт-10
    • В сети зафиксирован вредоносный код, поражающий не исправлен...,тоже Аноним, 19:21 , 28-Окт-10
• В сети зафиксирован вредоносный код, поражающий неисправленн...,User294, 16:32 , 28-Окт-10

> который временно занесен в черный список Firefox

nobelprize. org

А у меня прекрасно открывается.

P.S. юзаю NoScript

Новость об уязвимости, ОС не указана - т.е. уязвимость в самом FF, и использована она может быть по-разному.
Последний абзац, прилепленный к новости - ОДИН ИЗ случаев использования этой дыры. Так что его успокоительный тон неуместен и вводит в заблуждение.

>>Согласно отчету антивирусной компании Trend Micro, вредоносное ПО поражает только Firefox 3.6.x в сборке для платформе Windows XP (для Windows 7 и Vista вредоносное ПО не активирует троянский код).

нет там слова XP ;)
According to Mozilla, the underlying flaw is present in both Firefox 3.5 and 3.6, but only recent versions of 3.6 were targeted by JS_NINDYA.A. In addition, if the user is running newer versions of Windows (such as Vista, Windows 7, Server 2008, and Server 2008 R2), the exploit will not be triggered either.

есть тока "более новые" и перечисление (а с какой начинается - не указано)

Ы. Как насчёт поражения не Windows?

А вы в "не Windows" запускаете FF под рутом?
Тогда запущенный им "произвольный код" может установить вам бэкдор.
Причем безотносительно к этой новости. Эта дыра - не первая и не последняя.

> А вы в "не Windows" запускаете FF под рутом?

В Linux можно и без рута прописаться в cron, .profile или .desktop обычного пользователя и успешно рассылать спам с его машины и участвовать в DDoS атаках. Для большинства функций бэкдора - главное сеть, а на привилегии в локальной системе наплевать, не нужен ему root и локальные файлы. Если что и интересно для трояна - это сохраненные пароли в ftp-клиенте и браузере, но они как раз прекрасно доступны и без рута, единственное препятствие, что сетевой интерфейс в promiscuous режим не перевести и чужие пароли в локальной сети не посниффить.

>В Linux можно и без рута прописаться в cron, .profile или .desktop обычного пользователя

После первого такого случая популярные дистрибутивы включат в поставку и активизируют по-умолчанию профили apparmor для FF, и Sandbox для SELinux, и FireFox больше не сможет прописываться в крон (а то и вообще делать левые exec(),), править .profile, .bachrc, и пр. файлы, а так же пользоваться сетью неразрешенным образом(например, зачем FF соединяться с dest 25 портом :)? ) в хомяке пользователя без высочайшего на то пользовательского разрешения.

Согласен, в любой системе можно сделать многое и из-под пользователя. В Linux труднее спрятаться, чем в реестровом дереве, да и административные права у Windows-пользователей доступны так часто, что грех не воспользоваться.
Однако пока линуксоиды могут не слишком волноваться и не устраивать вокруг браузера песочницу. А когда придет реальная опасность - вполне выручит правило "у пользователя не пересекаются права на запись с правами на исполнение"... и трояны не пройдут ;)

> В Linux труднее спрятаться, чем в реестровом дереве

Сделайте на десктопе:
ls -lad ~/.*
Список папок, куда вы почти никогда не заглядываете.
Или ещё лучше:
ls -la ~/.mozilla/firefox/*/extensions
Папка с именем {3d1db24f-2740-49df-8937-200b1cc08f8a} вам мало что скажет.

Так что... все можно)
Но в *nix просто гораздо больше тупых и эффективных (как топор) средств против вирусов.
Например, такое тупое и эффективное средство, как монтирование /home с опцией noexec.
А ещё есть nodev, nosuid и т.д.
Но софт я бы качал только с нормальных источников.

> Список папок, куда вы почти никогда не заглядываете.

Что-то из этих папок само загрузится без того, чтобы прописаться в перечисленные выше места? В реестре же довольно много мест, куда можно прописаться, и винды это автоматически запустят.

> Папка с именем {3d1db24f-2740-49df-8937-200b1cc08f8a} вам мало что скажет.

Это же не IE, чтобы выяснять, какие расширения он мне не показывает: Menu - Tools - Add-ons - Extensions выдает полный и вполне читаемый список.

> Например, такое тупое и эффективное средство, как монтирование /home с опцией noexec.

А вот с этим согласен настолько, что сам выше об этом и говорил ;)

В 3.6.12 еще не исправили?

> В 3.6.12 еще не исправили?

НЕТ!!!

А что мешает в той же ХР, работать под обычным непривилегированным пользователем? Или только и знаем слово "Администратор"?

>>     А что мешает в той же ХР, работать под обычным непривилегированным пользователем? Или только и знаем слово "Администратор"?

Тем, что там получение привилегий администратора из под обычного пользователя сделана людьми не дружащими если не с головой, то с администрированием системы, так точно.

> А что мешает в той же ХР, работать под обычным непривилегированным пользователем?
> Или только и знаем слово "Администратор"?

Так это надо этого пользователя создать)
А там при установке все потакает созданию 1 юзера-админа.

> Так это надо этого пользователя создать)
> А там при установке все потакает созданию 1 юзера-админа.

Это только начало. Потом окажется, что пользователи не могут владеть папками и файлами (почему?!), что программы, нужные для работы, хотят стоять в Program Files и при этом писать себе "под ноги" свои ini-файлы... И что "простой доступ к файлам и папкам" отнюдь не означает, что у пользователя будет к ним простой доступ. Это означает, что у админа будут лишние действия в процессе назначения прав и разрешений.
В общем, действительно - систему делали не администраторы...

Уже обновление выпустили походу.