forum.opennet.ru

"В Firefox устранена критическая 0-day уязвимость в PDF.js"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "В Firefox устранена критическая 0-day уязвимость в PDF.js"	+/–
Сообщение от Аноним (-), 08-Авг-15, 03:33
> это не помогает. Заюзать баг, афаик, можно просто из js кода Насколько я понял, смысл атаки вроде как нечто типа такого: 1) Подсовыаем лоху "типа, PDF". 2) Лис пытается этот "типа, PDF" посмотреть. С настройками по дефолту - прямо в текущем окне браузера. Дефолтная реакция у него такая на пдфники - смотреть в своей вьюшке, не задавая никаких вопросов. 3) Поскольку "типа, PDF" рендерился упырями из мозиллы в JS, а в "специально скомпонованом PDF" заранее подпиханы данные, которые далее будут ошибочно поняты лисой как свой же JS - фокс начинает лихо выполнять при попытке "просмотра PDF" вражеский JS код из "якобы PDFника". Далее этот код может шариться по системе. Или я чего-то не понял в механизме атаки? Если оно работает вот так - оно, по идее, завалится на шаге 2. А так у мозиллы очень галимо написано описание. Точнее говоря его почти нет. За такое описание проблемы безопасности, при том что боевые сплойты во всю летают - мозилле вообще факофф!
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В Firefox устранена критическая 0-day уязвимость в PDF.js, opennews, 07-Авг-15, 10:24 [смотреть все]

Что за сайт Зачем скрывать имя сайта , Аноним, 07-Авг-15, 10:24 (1)
О, уже и 0 3 есть Решил установить Firefox в Gentoo Смотрю - последняя верс, Аноним, 07-Авг-15, 10:28 (2) //
- Назвался груздём, полезай в кузов Тебе же религия противоречит юзать бинарные, , Аноним, 07-Авг-15, 11:28 (15) //
  - www-client firefox-bin Available versions 31 7 0 ms 31 8 0 ms 38 1 0 ms , Perl_Jam, 07-Авг-15, 14:28 (24) //
    - Что-то мейнтейнеры тормозят с ебилдом для обновлённой лисы В Арче пакет собрали, Rekdo, 08-Авг-15, 06:43 (129)
    - Выше человек честно написал теперь пересобирать, и ждать Так что мимо , XoRe, 10-Авг-15, 13:44 (154)
- В манжаре тоже нету обнов, Аноним, 08-Авг-15, 00:06 (113)
Адблок бы спас или нет , Аноним, 07-Авг-15, 10:28 (3) //
- Пишут People who use ad-blocking software may have been protected from this exp, Аноним22, 07-Авг-15, 10:47 (9) //
  - Прошу прощения, был взволнован , Аноним, 07-Авг-15, 12:58 (21)
  - А я уж точно был защищен от этого эксплойта - я этот тормозной и неюзабельный ши, Аноним, 07-Авг-15, 15:13 (36) //
    - Ох Святая наивность Я катаюсь со смеху В ней дыр наверняка в 1000-раз боль, XXasd, 08-Авг-15, 20:36 (134)
      - Во первых - покажи их Во вторых - для начала, авторы этой открывашки не били себ, Аноним, 08-Авг-15, 22:29 (135)
        
        ты думаешь, он хоть слово понял , arisu, 08-Авг-15, 22:42 (136)
about config - pdfjs disabled trueне велика потеря, он медленный, Аноним, 07-Авг-15, 10:28 (4) //
- Да, быстрее Sumatra PDF ничего PDF не открывает Причем даже под wine он заметно, Читама, 07-Авг-15, 10:39 (7) //
  - mupdf работает мгновенно, на моем опыте и компьютере , anonymous, 07-Авг-15, 14:01 (23)
  - Не знаю кому там что забавно, а обычный evince открывает огроменные PDFники как , Аноним, 07-Авг-15, 15:02 (29) //
    - Sumatra хорошая открывашка PDF для Windows Ну и для Linux, если пользователь из, www777, 07-Авг-15, 15:23 (38)
      - Хорошая, но не очень фичастая Я предпочитаю PDF X-Change Viewer, который в бесп, Anonplus, 07-Авг-15, 15:57 (42)
        
        Круто, надо будет попробовать, а то Okular что производительностью, что фичастос, Rekdo, 08-Авг-15, 06:45 (130)
        
        , сборище извращенцев вы где 8208 нибудь в интимном уголке не можете дели, arisu, 08-Авг-15, 12:22 (131)
        
        усира против свободы слова в интернете как это прекрасно , Аноним, 09-Авг-15, 22:57 (149)
        
        интересно, почему любой дегенерат 8212 вот наподобие тебя, например, 8212 , arisu, 09-Авг-15, 23:02 (150)
      - только в ней редактирования заполнения полей нет, что как бы не вариант , Аноним, 07-Авг-15, 17:06 (44)
        
        Поля заполнять нужно мне например намного реже, чем по быстрому просмотреть до, Аноним, 07-Авг-15, 18:48 (47)
      - Evince, кстати, тоже неплохая открывашка PDF и в windows-версии Причем оно там , Ytch, 07-Авг-15, 23:32 (106)
    - Ага, а потом эта пушка с таким скрипом страницы перематывает, что ужос , soarin, 07-Авг-15, 15:43 (40)
      - А чтобы потом вменяемо перемалывало - qpdfview - он, кажется, единственный, имее, Crazy Alex, 07-Авг-15, 18:50 (48)
      - Хз, не заметил У меня оно довольно резво рендерит невъ е даташиты по 600 стра, Аноним, 07-Авг-15, 19:24 (51)
        
        Фигня, от количества страниц не зависит Надо чтоб одна страница была крутой, на, soarin, 07-Авг-15, 20:26 (64)
        
        Ну я как-то обычно читаю более реалистичные и менее нутые документы Ну там д, Аноним, 07-Авг-15, 20:52 (70)
        
        А зачем раскидывать ресурсы когда есть инструмент который их экономнее расходует, Ан, 07-Авг-15, 21:38 (85)
        
        Как известно, преждевременная оптимизация - корень всех зол , Аноним, 07-Авг-15, 23:33 (107)
        
        А чем тебе комиксы то в хайрезе не угодили Зайди на ту же comixology Реалистич, iPony, 11-Авг-15, 11:05 (158)
    - QPdfView 162х страничный PDF за 2 секунды , Аноним, 10-Авг-15, 09:29 (153)
      - mupdf, открыть 1360-и страничный PDF Straustrup4th 8211 примерно половина с, Аноним, 10-Авг-15, 13:45 (155)
        
        Я раньше тоже mupdf пользовался, но больно не нравится мне его управление Так, Аноним, 10-Авг-15, 14:01 (156)
  - Суматра твоя сделана на рендерере MuPDF С нативным mupdf сравнивал Заметно бы, Andrey Mitrofanov, 07-Авг-15, 17:10 (45)
  - столько ошибок в названии Zathura Пруф будет Скажем, zathura c плагином pdf-, Аноним, 07-Авг-15, 18:37 (46) //
    - А оно забавное, но какое-то совсем уж инопланетное по интерфейсу , Аноним, 07-Авг-15, 19:24 (52)
      - vi же , arisu, 07-Авг-15, 19:32 (53)
        
        Ну, понимаешь, кэп, у меня даже на ноуте раза в два-три больше кнопок чем на тех, Аноним, 07-Авг-15, 20:23 (63)
        
        что смешно 8212 vi-like как раз потому продуктивней, что меньше разных кноп, arisu, 07-Авг-15, 20:37 (65)
        
        А у меня не один палец и поэтому вбахать какой-нибудь лобовой ctrl somthing или , Аноним, 07-Авг-15, 20:55 (72)
      - не забавнее суматры http www sumatrapdfreader org manual html, Аноним, 07-Авг-15, 19:59 (56)
- Пока остается только верить в то что эта опция отключает pdfjs и спасает от уязв, Аноним, 07-Авг-15, 11:03 (11) //
  - Можно намного проще Preferences - Applications - Portable Document - меняем , Аноним, 07-Авг-15, 15:04 (30) //
    - это не помогает Заюзать баг, афаик, можно просто из js кода, all_glory_to_the_hypnotoad, 08-Авг-15, 00:42 (118)
      - Насколько я понял, смысл атаки вроде как нечто типа такого 1 Подсовыаем лоху , Аноним, 08-Авг-15, 03:33 (123)
        
        собственно, оно даже не pdf как таковой подпихивает, object с нужным content-typ, arisu, 08-Авг-15, 03:53 (125)
        
        Ну да Главное чтобы левый код выполнился На самом деле он должен бы обломаться , Аноним, 08-Авг-15, 22:50 (137)
        
        я имел в виду 171 если нет скриптодавилок 187 не преобразовывают, лажа не в , arisu, 09-Авг-15, 01:17 (141)
        Не пдф там выполняется PDF js 8212 название мозилловской смотрелки, она и вы, Аноним, 09-Авг-15, 13:21 (148)
Да, героев надо знать в лицо , Ващенаглухо, 07-Авг-15, 10:29 (5) //
- Самый угар что этот мегатормоз был написан на JS с аргументом что так безопаснее, Аноним, 07-Авг-15, 15:06 (31) //
  - Почему преувеличены Оно не позволяет выполнять произвольный код, например В да, Anonplus, 07-Авг-15, 15:58 (43) //
    - Вообще-то как раз позволяет JS который обходит разделение прав - пашет с правам, Аноним, 07-Авг-15, 19:43 (54)
      - да, фактически, с правами system principal можно всё, что может сишный софт во , arisu, 07-Авг-15, 19:53 (55)
        
        Именно Какая мне разница, на чем написан софт который неконтролируемо шарится п, Аноним, 07-Авг-15, 20:17 (62)
        
        мозилла тоже но то воркеры, а то код с system principal на самом деле всё в по, arisu, 07-Авг-15, 20:38 (66)
        
        На самом деле у мозиллы дофига кода и половина работает с обычными правами польз, Аноним, 07-Авг-15, 21:00 (74)
        
        ты путаешь две совершенно разные платформы mozilla platform 8212 очень интер, arisu, 07-Авг-15, 21:15 (78)
        
        Смотря что понимать под очень четким Все это крутится в одном процессе, а за ра, Аноним, 07-Авг-15, 21:33 (84)
        
        а это как раз и относится к тому, что mozilla platform писали одни, а портят её , arisu, 07-Авг-15, 21:48 (87)
        
        И что хуже - отпускают заведомо ложные заявления А потом безопасный модуль du, Аноним, 07-Авг-15, 23:39 (108)
        
        p s с таким повреждением мозгов, как у теперешней мозиллы, и e10s не спасёт су, arisu, 07-Авг-15, 21:51 (88)
        
        Если бы он крутился в отдельной _песочнице_ - duq бы упер сильно меньше данных н, Аноним, 07-Авг-15, 23:40 (109)
        нет он написан такими же идиотами, как те, которые удивляются, зачем приличные , arisu, 08-Авг-15, 00:09 (114)
        Там чисто технически тырились бы без проблем разве что сильно некоторые данные о, Аноним, 08-Авг-15, 00:55 (119)
        ты снова ничего не понимаешь в архитектуре mozilla platform таки я тебе заново , arisu, 08-Авг-15, 01:09 (120)
        Это был отсыл к архитектуре песочниц хрома Если уж они так хотят походить на хр, Аноним, 09-Авг-15, 04:11 (146)
        старая добрая мозилла времён когда только начали сходить с ума, а потому ничего , arisu, 09-Авг-15, 04:51 (147)
        
        https marketplace firefox com оно , Аноним, 07-Авг-15, 21:57 (89)
        
        Можно же и сам фаерфокс запускать, скажем, от отдельного юзера Хотя бы , Аноним, 07-Авг-15, 20:41 (67)
        
        можно много чего сделать но будет ли этим заморачиваться casual user , arisu, 07-Авг-15, 20:45 (69)
      - p s а вообще 8212 конечно, всего лишь смогли спереть все пользовательские па, arisu, 07-Авг-15, 20:04 (57)
Так что за сайт то Как я узнаю заходил я туда или нет , Аноним, 07-Авг-15, 10:30 (6) //
- оставил комментарий с этим вопросом https blog mozilla org security 2015 08 06, vn971, 07-Авг-15, 11:35 (16)
А что за помойка общей тематики , РОСКОМУЗОР, 07-Авг-15, 10:43 (8)
да скажите наконец то что за сайт, Аноним, 07-Авг-15, 11:04 (12)
Мало того что сделали самый убогий pdf вьювер в мире, так ещё и умудрились такие, Аноним, 07-Авг-15, 11:20 (13) //
- Зато на javascript e Модно, стильно, молодежно , Аноним, 07-Авг-15, 12:49 (19)
действительно, сказали бы что за сайтнадеюсь, ноускрипт тоже не пропускает тот б, Kott, 07-Авг-15, 11:28 (14)
Многие тут спрашивают в комментах что за сайт был Задал этот вопрос здесь ht, vn971, 07-Авг-15, 11:36 (17)
39-я мобильная версия стабильно падает на newsru com, Аноним, 07-Авг-15, 11:43 (18) //
- У меня 39-я мобильная падает постоянно и без pdf-ок на Nexus 4 и Nexus 7 с после, backbone, 07-Авг-15, 12:55 (20) //
  - так падает же повторяемо значит, стабильная версия со стабильными падениями , arisu, 07-Авг-15, 14:36 (25) //
    - Не воспроизводимо, скорее почти случайно, Send Report или как её там несколько, backbone, 07-Авг-15, 14:43 (27)
      - 171 что 8208 то не то 187 с кодовой базой уже давно как её начали активно , arisu, 07-Авг-15, 14:48 (28)
        
        Ее начали реFUCKторить То вкладки переделают, то DRM запилят, то pocket завнедр, Аноним, 07-Авг-15, 15:08 (32)
        
        они и внутри активно перетряхивают код, который до этого годами работал и каши н, arisu, 07-Авг-15, 15:12 (35)
        
        И, насколько я помню, в той статье этот Джоэль писал в качестве реального и пок, Ytch, 08-Авг-15, 02:06 (121)
        
        не менее смешно то, что сама мозилла родилась из фатального решения нетскейпа , arisu, 08-Авг-15, 02:16 (122)
        
        Точно Джоэль-то и писал, вроде, о той самой версии netscape, которую переписыва, Ytch, 08-Авг-15, 03:33 (124)
        
        а знаешь, что ещё дико смешно цитата из переписки с автором pale moon то бишь , arisu, 08-Авг-15, 17:08 (133)
        
        Ух ты, а мозилла таки таланты Такие креативные баги сажать умеет далеко не кажд, Аноним, 08-Авг-15, 23:37 (139)
        работают стараются улучшают безопасность и изоляцию , arisu, 09-Авг-15, 01:14 (140)
        Кого же мне это напоминает а, были там как-то перцы В 1986 году Ставили экс, Аноним, 10-Авг-15, 19:59 (157)
        Подозреваю что они сделают как в хроме А до тех пор - вот вам франкенштейн , Аноним, 09-Авг-15, 03:19 (142)
    - Да у мозиллы вообще каждая версия все трэшовее и угарнее Стабильность - признак, Аноним, 07-Авг-15, 15:11 (34)
раньше хакерам пришлось бы подбирать адреса памяти и искать всякие там rop-гадж, Нанобот, 07-Авг-15, 12:58 (22)
а ведь сколько говорят всяким идиотам браузер 8212 он для просмотра страниц , arisu, 07-Авг-15, 14:37 (26) //
- Тут скорее мозилле отлилось ее бахвальство с тем что JS - это вам не сишечка, он, Аноним, 07-Авг-15, 15:09 (33) //
  - js-то более 8208 менее безопасный, тут они правы если это сферический js в вак, arisu, 07-Авг-15, 15:19 (37) //
    - Ну так числокрушилка без IO - относительно безвредная штука А вот как только по, Аноним, 07-Авг-15, 20:09 (58)
А если кому-то из разработчиков АНБ проплатил небольшую ошибочку , то еще легче, Аноним, 07-Авг-15, 15:24 (39)
Не зря я первым делом при свежей установке отключаю этот pdf js и прочие свистоп, Аноним, 07-Авг-15, 15:55 (41)
The following actions will be taken if you choose to proceed Upgrade fir, iZEN, 07-Авг-15, 18:57 (49) //
- Казалось бы, нафуя это файрфоксу Это в фрибзде такие нутые зависимости у пак, Аноним, 07-Авг-15, 20:10 (59) //
  - ну, если оно ставит dev-окружение, то как минимум 213-е автотулзы да, потому что, arisu, 07-Авг-15, 20:12 (60) //
    - Я думал что изя хвастается бинарными пакетами А там какая-то бидонодрянь для ск, Аноним, 07-Авг-15, 21:08 (76)
      - 213 8210 е автотулзы 8212 вполне себе стэндалон, могущий сосуществовать с др, arisu, 07-Авг-15, 21:27 (82)
        
        Ээээ насчет 213 не помню, но автотулсы вроде всегда хотели еще и m4, и даже чуть, Аноним, 07-Авг-15, 23:43 (110)
        
        ну, m4 таки есть же, не думаю, что это первый собираемый из сырцов пакет да и г, arisu, 08-Авг-15, 00:25 (116)
  - Какой пакет Что за мода, вопить не разобравшись http www freshports org www f, Аноним, 07-Авг-15, 20:17 (61)
  - Это - пакеты поддержки сборки Убунтятам не понять , iZEN, 07-Авг-15, 20:44 (68) //
    - Лол, ты поставил пакетную систему чтобы самому один хрен все компилить Де, Аноним, 07-Авг-15, 21:09 (77)
- Compilation failed unexpectedly Try to set MAKE_JOBS_UNSAFE yes and rebuild, iZEN, 08-Авг-15, 13:21 (132) //
  - pkg info -x firefoxfirefox-40 0_1,1firefox-i18n-40 0Ух, отлегло , iZEN, 09-Авг-15, 23:50 (151)
У меня, кажется, есть живой экземпляр То ли самого зловреда, то ли нагрузки Во, Inkelyad, 07-Авг-15, 20:53 (71) //
- на rghost туда всю фигню складывают , arisu, 07-Авг-15, 20:58 (73) //
  - А дальше Куда ссылку кидать И, повторю - стоит ли , Inkelyad, 07-Авг-15, 21:01 (75) //
    - Сюда же и кидай - тут в основном все-таки не секретарши А если кто скачает опас, Аноним, 07-Авг-15, 21:18 (79)
      - Ну хорошо http rghost net 6HTzsrdLRНо это, скорее всего, только нагрузка, вс, Inkelyad, 07-Авг-15, 21:28 (83)
        
        по первому взгляду 8212 это именно склееная нагрузка и пробивалка она таки п, arisu, 07-Авг-15, 21:44 (86)
        Действительно, по многим признакам это выглядит как агрессивная пакость, эксплуа, Аноним, 07-Авг-15, 22:06 (90)
        
        А, да, админов нага пни что там у них идет такая атака Там половине сайта похож, Аноним, 07-Авг-15, 22:13 (93)
        Ну в security мозилловское я уже файлик послал И касперским Я думаю, поделятьс, Inkelyad, 07-Авг-15, 22:13 (94)
        
        Абсолютно не факт Думаешь, они в курсе о наге Тем более что наг - не антивирус, Аноним, 09-Авг-15, 03:21 (143)
        
        Что оно там упереть-то пыталось, можно список, лол , Аноним, 07-Авг-15, 22:31 (97)
        
        Тут некоторые уже мой файлик скачать успели, пускай аккуратно и в правильных мес, Inkelyad, 07-Авг-15, 22:32 (98)
        да примерно то, что в новости и написано кучки txt-файлов по маскам 171 par, arisu, 07-Авг-15, 23:08 (104)
        
        Когда станут известны IP, куда уходила информация - опубликуйте их please,чтобы , Аноним, 07-Авг-15, 22:55 (101)
        
        А оно особо вроде и не прячется url http acintcdn net delivery php 3c7b88, Аноним, 07-Авг-15, 23:50 (111)
        
        кинул сюда, но оперативно удалили https blog mozilla org security 2015 08 06 , anonymous, 07-Авг-15, 22:07 (91)
        
        Последую ка и я их примеру , Inkelyad, 07-Авг-15, 22:08 (92)
        и вернули обратно , anonymous, 07-Авг-15, 22:15 (95)
        
        Уже поздно Я файлик снес , Inkelyad, 07-Авг-15, 22:17 (96)
        
        Удалить что-то из интернета - не сильно просто Да и смысл В любом случае, лисо, Аноним, 07-Авг-15, 22:54 (100)
        
        Ссылка на страницы мозиллы появилась А у нее, предположительно, аудитория побол, Inkelyad, 07-Авг-15, 23:04 (103)
        
        Судя по тому что я вижу - лучше пусть неумелые скриптокидозники заставят всех за, Аноним, 07-Авг-15, 23:57 (112)
    - сюда кидай, например прямо с предупреждением о том, что там а почему нет как в, arisu, 07-Авг-15, 21:21 (81)
      - По некоторым признакам смахивает на очередной модуль duq, кроссплатформенный и о, Аноним, 07-Авг-15, 22:52 (99)
        
        вряд ли 8212 так глупо спалить такой вкусный сплоит 8230 , arisu, 07-Авг-15, 23:03 (102)
        
        хотя, возможно, просто слили отработаный материал, гыг чтобы при случае кивать , arisu, 07-Авг-15, 23:12 (105)
        Они вроде как мониторят 0-day и агрессивно пользуются не только неизвестными дыр, Аноним, 08-Авг-15, 00:10 (115)
- запаковать и на любой обменник через TOR , anonymous, 07-Авг-15, 21:20 (80)
- Этот скрипт может пробить связку uBlock Ghostery Reguest Policy NoScript Учитыв, th3m3, 08-Авг-15, 04:02 (126) //
  - мозг включаем, да мы тут для кого, , распинались, расписывая, как это ра, arisu, 08-Авг-15, 04:07 (127) //
    - В теории, если речь идёт о новостном сайте - то при блокировке рекламы, скрипт н, th3m3, 08-Авг-15, 04:10 (128)
  - Зависит от настроек связки и браузера Ты связку настраивал - себе и задай этот , Аноним, 09-Авг-15, 03:36 (144)
  - Зависит, думаю, от того где хостился этот эксплоит Если в iframe и стороннем сай, vn971, 10-Авг-15, 00:32 (152)
- Вендузятник должен страдать , Led, 08-Авг-15, 23:07 (138) //
  - Прущая их всех щелей компетентность LED-а, как обычно Эта штука одинаково оп, Аноним, 09-Авг-15, 03:39 (145)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру