audio-video-disco

Billy Rios und Nate McFeters haben in ihrem Blog einen Bug im Mozilla veröffentlicht, mit dem sich über bestimmte URLs beliebige Programme starten lassen.

Die Ursache scheint dabei in der Verarbeitung von bestimmten Web-Protokollen (mailto:, news:, etc.) zu stecken. Enthält ein Link die Zeichenfolge “%00” und wurde auf dem System z.B. kein externes Mail-Programm installiert das sich für die Verarbeitung solcher URLs verantwortlich zeigt, so ist es damit möglich, beliebige lokale Programme auszuführen.

In den von Billy und Nate aufgeführten Beispielen startet nach einem Klick auf einen Link ohne Vorwarnung die Console und anschließend der Taschenrechner von Windows.

Der Bug ist sowohl in der aktuellen FireFox Version 2.0.0.5 sowie im Netscape Navigator 9 und Mozilla vorhanden, getestet wurde er allerdings nur unter WinXP mit SP2.

In Bugzilla gibt es inzwischen einen entsprechende Eintrag, so das das nächste Mozilla/FireFox Update nicht mehr lange auf sich warten lassen dürfte.

Update
Auf heise.de gibt es noch einen etwas ausführlicheren Bericht zu dieser Problematik

[via Mozilla Security Blog]

Das freien Unix-Derivat OpenBSD wurde in der Version 4.1 freigegeben.

We are pleased to announce the official release of OpenBSD 4.1. This is our 21st release on CD-ROM (and 22nd via FTP). We remain proud of OpenBSD’s record of ten years with only two remote holes in the default install. As in our previous releases, 4.1 provides significant improvements, including new features, in nearly all areas of the system.”

Die besonders auf Sicherheit optimierte Variante der BSD-Unix-Systeme bringt in der Version 4.1 diverse Verbesserungen und neue Funktionen in nahezu allen Bereichen des Systems mit. Die neue Version kann ab sofort vom Server des OpenBSD-Projekts oder einer seiner Mirror heruntergeladen werden. Ebenfalls ist eine CD-Version erhältlich. Alle Änderungen und Updates können wie gewohnt dem Changelog entnommen werden. Wer es etwas “komprimierter” mag, sollte sich des das “What’sNew” der Entwickler zu gemüte führen.

[via slashdot.org]