markasblog

Ostatni wpis na blogu dotyczył wykrycia w najnowszej wersji przeglądarki Firefox 3.5 luki oznaczonej jako krytyczna. Luka ta dotyczyła kompilatora JavaScript. 16 lipca 2009 Mozilla udostępniła do pobrania wersję 3.5.1, w której luka została naprawiona. Dodatkowo programiści poprawili stabilność programu oraz wyeliminowali błąd, który powodował zbyt długie uruchamianie się przeglądarki na niektórych wersjach Windows.

Mozilla zaleca jak najszybszą aktualizację do najnowszej wersji, którą można pobrać z oficjalnej strony Mozilli lub skorzystać z narzędzia aktualizacji ukrytego w menu Pomoc.

Specjaliści z firmy Secunia opublikowali wczoraj informację o wykryciu krytycznej luki w Firefoksie 3.5. Luka dotyczy sposobu, w jaki przeglądarka przetwarza kod JavaScript. Sposób ten pozwala na nadpisanie pamięci z użyciem odpowiedniego znacznika HTML, a co za tym idzie, wykonania zdalnie złośliwego kodu, który pozwoli na przejęcie kontroli nad systemem. Na tą chwilę, aby złośliwy kod pobrać na komputer, użytkownik musi wejść na odpowiednio spreparowaną stronę internetową.

Do czasu ukazania się odpowiedniej poprawki zaleca się nie wchodzenie na strony internetowe niewiadomego pochodzenia, które wykorzystują JavaScript.

30 czerwca 2009 roku, czyli dokładnie tydzień temu Mozilla opublikowała najnowszą wersję swojej przeglądarki Firefox 3.5, a dzisiaj rusza specjalny projekt o nazwie BugDay, który ma za zadanie zidentyfikować błędy, które wkradły się do wersji. W programie BugDay może wziąć udział każdy chętny użytkownik Firefoxa. Pokrótce ma to wyglądać tak, że każdy użytkownik, który chce pomóc w wyeliminowaniu błędów wchodzi na stronę Bugzilli, wybiera sobie jakiś niepotwierdzony błąd i próbuje odtworzyć go na swojej maszynie. Jeżeli faktycznie wybrany błąd pojawił się podczas testów, użytkownik powinien potwierdzić ten fakt w komentarzach do błędu.

Znalezione błędy zostaną przekazane programistą do rozwiązania w kolejnej wersji przeglądarki.

Zachęcam wszystkich, którzy dysponują wolnym czasem do przyłączenia się do akcji. W społeczeństwie siła o czym nie raz już mieliśmy okazję się przekonać.

Zgodnie z zapowiedziami przedstawicieli Mozilli, pojawiła się wreszcie stabilna wersja przeglądarki Firefox 3.5. Prace nad nią trwały ponad rok, ale wydaje się, że długie oczekiwanie opłacało się, bowiem nowa wersja Firefoksa niesie w sobie wiele zmian poprawiających bezpieczeństwo korzystania z Internetu, a także wiele nowości usprawniających korzystanie z przeglądarki. Nowy Firefox to także obsługa nowych standardów (CSS3, HTML5), nowy silnik JavaScript o nazwie TraceMonkey, tryb przeglądania prywatnego, udoskonalony silnik Gecko w wersji 1.9.1, wsparcie dla przetwarzania spekulatywnego (przyspiesza ładowanie się stron) i wiele innych. Pełną listę zmian i nowości można zobaczyć tutaj (strona po angielsku).

Firefoxa 3.5 można pobrać z oficjalnych serwerów Mozilli dla systemu Windows, MacOS i Linux.

Mozilla wraz z wydaniem finalnej wersji przeglądarki Firefox 3.5 wyznacza nowe standardy surfowania po Internecie. Bezpieczeństwo, szybkość, obsługa nowych standardów CSS i HTML sprawia, że Firefox staje się godną uwagi alternatywą dla Opery, IE, Safari i innych, chociaż słowo „alternatywa” nie jest tutaj zbyt szczęśliwym określeniem pozycji Firefoksa na rynku przeglądarek, bowiem już od dawna produkt Mozilli plasuje się na szczycie w rankingach popularności przeglądarek internetowych.

Ja sam nie wyobrażam sobie życia (czyt. „korzystania z Internetu”) bez Firefoksa. Inne przeglądarki to jedynie dodatki w pracy (służą jedynie do testowania). Potęga Firefoksa tkwi w rozszerzeniach, których mamy ponad 6000, wśród których każdy znajdzie coś dla siebie. I ja właśnie znalazłem w Firefoksie to, czego inne przeglądarki nie były w stanie mi zapewnić. Skalowalność, bo to mam tutaj na myśli to potężna cecha każdego oprogramowania, a Mozilla oddała w ręce użytkowników produkt wzorcowy w tej kwestii.

Polecam do zapoznania się z Firefoksem 3.5. Pomimo wielu mankamentów, które są z pewnością ukryte, i które zapewne wyjdą na jaw podczas użytkowania, „Lisek” jest bliski ideału. Nie chciałbym również, aby Firefox był porównywany z konkurencją, bo to nie ma najmniejszego sensu. A już oskarżenia, że Firefox uruchamia się dłużej od Chrome, czy Opery są dla mnie oznaką nieznajomości tematu i wyszukiwania wad na siłę (bo jaki wpływ na jakość pracy z przeglądarką ma czas uruchamiania się programu?).

Na serwerach Mozilli pojawiła się już trzecia wersja RC przeglądarki Firefox 3.5. Najprawdopodobniej jest to ostatnia wersja RC przed wydaniem wersji stabilnej, która jak wszystko wskazuje, może ujrzeć światło dzienne jeszcze w tym miesiącu. W RC3 zostały usunięte błędy zgłoszone przez społeczność (przede wszystkim w module odtwarzacza video, w funkcji „drag and drop tab”). Wypuszczenie wersji RC3 wiąże się przede wszystkim z dalszymi testami funkcjonalnymi oraz weryfikacją błędów, które zostały wykryte we wcześniejszych wersjach. Szczegółów na temat planów przewidzianych dla wydania RC3 można zaczerpnąć tutaj.

Polską wersję przeglądarki można pobrać z serwerów Mozilli dla Windows, Linuks, MacOS.

Osoby, które miały wcześniej zainstalowaną wersję beta lub RC przeglądarki w wersji 3.5, powinny nie mieć problemu z aktualizacją do najnowszej wersji przez narzędzie automatycznej aktualizacji.

Nikolaos Rangos, znany specjalista ds. bezpieczeństwa zamieścił na stronach Full Disclosure informacje o poważnej luce w zabezpieczeniach w usłudze IIS 6.0. Nikolaos Rangos pokazuje, że przy pomocy odpowiednio spreparowanego zapytania HTTP przesłanego na serwer działający w oparciu o IIS 6.0, można przeglądać pliki umieszczone na serwerze, a nawet dodawać nowe. Rangos ustalił, że najprawdopodobniej błąd znajduje się w module odpowiedzialnym za obsługę tokenów Unicode.

Problem dotyczy wersji 6.0 usługi IIS z aktywnymi protokołami WEBDav, które są wykorzystywane do udostępniania plików online. Istnieje w całej tej historii również i dobra informacja. Nikolaos Rangos nie zdołał przeprowadzić skutecznego ataku na serwery Exchange i SharePoint, które również działają w oparciu o IIS 6.0. Potwierdza to również Thierry Zoller, niezależny konsultant ds. bezpieczeństwa, który po przetestowaniu przez Rangosa luki powiedział:

Istotą luki jest to, że pozwala ona na uzyskanie dostępu do zgromadzonych na serwerze plików z ominięciem obowiązku autoryzowania użytkownika. Co więcej – napastnik może też wgrywać nowe pliki na serwer. Dobra wiadomość jest taka, że na razie nie udało nam się znaleźć żadnego sposobu, który pozwalałby na uruchomienie na takim zaatakowanym serwerze złośliwego kodu.

Zoller wykazał również, że IIS 5 i IIS 7 nie są podatne na tego typu ataki, ale nie wyklucza jednocześnie, że inne usługi działające w oparciu o protokół WEBDav mogą zawierać podobne luki w zabezpieczeniach. Z tego też powodu zalecana jest duża ostrożność, a wręcz zaprzestanie korzystania przez administratorów serwerów z usług WEBDav do czasu wydania przez Microsoft stosownej poprawki.

Microsoft tymczasem nie potwierdza informacji, że istnieje jakiekolwiek niebezpieczeństwo. Gigant z Redmond póki co każe czekać na zajęcie stosownego stanowiska ograniczając się jedynie do lakonicznej informacji.

Na serwerach Mozilli pojawiła się druga wersja kandydująca przeglądarki internetowej Firefox 3.5. Na tą chwilę nie jest wiadome, jakie dokładnie zmiany wprowadza nowa wersja RC, ponieważ na stronie Mozilli nie opublikowano jeszcze żadnej informacji dotyczącej tego wydania.

Widać jednak, że nie spełniły się zapowiedzi Mika Beltznera i Mika Shavera o tym, że wersja RC1 była ostatnim niestabilnym wydaniem przeglądarki w wersji 3.5. Należy jednak przypuszczać, że wydanie wersji RC2 wiązało się jedynie z poprawieniem błędów.

Wersję RC2 Firefoksa 3.5 można pobrać z oficjalnych serwerów Mozilli dla Windowsa, MacOS i Linuksa.

Na serwerach Mozilli pojawiła się długo oczekiwana pierwsza wersja Release Candidate przeglądarki Firefox w wersji 3.5. Mike Beltzner i Mike Shaver, jedni z głównych twórców Firefoksa, są bardzo zdeterminowani w dążeniu do wydania wersji stabilnej programu i zapewniają, że jest to najprawdopodobniej jedyna wersja RC przeglądarki przed wydaniem wersji stabilnej. W wersji RC pojawił się zapowiadany tryb prywatny, którego działanie polega na niezapisywaniu historii adresów, danych formularzy, haseł, zapytań zadanych przez pasek wyszukiwania, ciasteczek oraz historii ściągniętych plików. W trybie prywatnym, przeglądarka nie będzie również korzystała z pamięci podręcznej.

Firefox 3.5 to również nowy silnik javascript TraceMonkey, który według Mozilli powinien poprawić sprawność działania aplikacji internetowych. W wersji 3.5 pojawiła się również obsługa CSS3 oraz częściowa implemantacja HTML5 (tagi video oraz audio).

Wersję RC wersji 3.5 przeglądarki Firefox można pobrać z oficjalnych serwerów Mozilli.

Moim zdaniem

Ten artykuł jest pisany z wersji RC przeglądarki w wersji 3.5. Instalacja przebiegła bez żadnych problemów. Oczywiście był problem z kompatybilnością kilku dodatków, jednak problem został zapisany przez Nightly Tester Tools i opcja Override All Compatibility. Jeżeli chodzi o szybkość wczytywania stron, to faktycznie mam wrażenie, że trwa to znacznie krócej. Sama szybkość uruchamiania przeglądarki nie zmieniła się, albo poprawiła się w sposób niezauważalny w codziennym użytkowaniu. Dla niektórych jest to wciąż wada wymagająca poprawienia, dla mnie jednak jest to szczegół nie mający żadnego wpływu na funkcjonalność przeglądarki. Niestety dla wielu użytkowników wzorem do naśladowania, jeżeli chodzi o szybkość uruchamiania jest IE. Należy jednak pamiętać, że wiele bibliotek wykorzystywanych przez IE jest ładowanych wraz ze startem systemu, co znacznie skraca czas późniejszego startu programu.

Moim zdaniem jedynym niedociągnięciem wersji RC jest brak przycisku, dzięki któremu można włączyć i wyłączyć tryb prywatny. W tym momencie opcja jest ta dostępna z poziomu menu Narzędzia lub skrótu klawiaturowego Ctrl+Shift+P.

Z przeglądarką Mozilla Firefox jestem od wersji 1.5.0.2. Patrząc na postęp jaki nastąpił od roku 2006 do dnia wydania wersji RC przeglądarki w wersji 3.5 muszę przyznać, że z dnia na dzień utwierdzam się w przekonaniu, że Firefox to jedna z lepszych przeglądarek na rynku. Korzystam również z innych alternatyw dla IE (Opera, Safari, Chrome), chociaż IE8 jest moim zdaniem naprawdę udanym produktem, ale zawsze główną przeglądarką dla mnie będzie ta spod znaku Mozilli. Tak więc Firefox jest produktem, którego targetem są osoby ceniące sobie elastyczność, a tego akurat Firefoksowi nie da się odmówić.

Pomimo, że programiści Mozilli powoli zbliżają się do końca prac nad Firefoksem w wersji 3.5, nie zapominają o wersji 3.0. w ostatni piątek ukazała się kolejna wersja przeglądarki z gałęzi 3.0 oznaczona jako 3.0.11. W nowej wersji przeglądarki poprawiono kilka błędów związanych z bezpieczeństwem, z czego cztery były oznaczone jako krytyczne (więcej szczegółów można zobaczyć tutaj). Popracowano również nad stabilnością programu, a także zaktualizowano wewnętrzną bazę danych SQLite do najnowszej wersji, dzięki czemu rozwiązano kilka problemów zgłaszanych przez społeczność. Wyeliminowano również błąd, który w pewnych okolicznościach mógł doprowadzić do uszkodzenia bazy danych zakładek.

Pełną listę poprawionych błędów można zobaczyć tutaj.

Oczywiście zalecam jak najszybszą aktualizację przeglądarki do najnowszej wersji. Wersję instalacyjną dla systemu Windows przeglądarki można pobrać stąd. Dla systemów innych niż Windows pliki instalacyjne przeglądarki można pobrać z oficjalnej strony Mozilli.

I stało się. Położyłem Windowsa XP zainstalowanego na komputerze stacjonarnym. Wielu powie, że nic w tym dziwnego, bo przecież WIN XP to szmelc jakich mało, ale jeżeli powiem, że system działał u mnie ponad 3 lata bez instalacji, to wydaje mi się, że wielu przyzna, że jest to wyczyn. Wspomnę również, że system przed awarią działał z szybkością porównywalną do tej zaraz po instalacji, więc mam czego żałować. Jak tego dokonałem, że system działał u mnie tak długo, nie jest tematem tego artykułu, więc nie będę tutaj go poruszał.

Co się stało?

Jak zwykle w takich sytuacjach, zawinił czynnik ludzki. System był dobrze zabezpieczony – Avast Home Edition (do tej pory mnie nie zawiódł), ZoneAlarm Firewall (do tej pory żadnych problemów) i do tego okresowe skanowania SpyBotem i Ad-Awarem na nic się zdają, gdy użytkownik ignoruje komunikaty antywirusa i instaluje coś, czego pochodzenie nie jest tak do końca znane. I ja właśnie tak postąpiłem. Ściągnąłem ze strony thekeys.ws (przestrzegam przed tą stroną; myślę, że większość generatorów kluczy dostępnych na stronie jest zawirusowanych) generatora kluczy (plik *.exe) do gry i… No właśnie – dalej zachowałem się jak idiota i analfabeta komputerowy. Kliknąłem na ściągnięty plik dwukrotnie w celu uruchomienia generatora. Antywirus zaczął „wyć” o potencjalnym niebezpieczeństwie (nawet podajł nazwę wykrytego wirusa), a ja zignorowałem te informacje i zainstalowałem program na dysku komputera. I od tej pory zaczęła się masakra. Avast po pewnym czasie, zaczął wariować – ilość wirusów, jaką wykrył mi na przestrzeni jednej godziny, przekroczyła ilość szkodliwego oprogramowania jaka została wykryta na przestrzeni ostatnich 3 lat.

Na pierwszy ogień poszedł katalog: c:\Documents and Settings\Nazwa użytkownika\Ustawienia lokalne\Temporary Internet Files\Content.IE5\

Następnie wirusy zaczęły się ujawniać w katalogu: c:\WINDOWS\system32\

Próba instalacji innego antywirusa kończyła się niepowodzeniem. Pomyślałem, że może Avira AntiVir Personal poradzi sobie z problemem, ale niestety po rozpakowaniu przez program instalacyjny plików do folderu tymczasowego, pojawiał się komunikat o nieistniejącym pliku setup.exe, a dam sobie głowę uciąć, że plik był, bowiem sprawdzałem to.

Pomyślałem, że może skoro antywirusy zainstalowane na dysku nic nie pomogą, to może skanery online w jakiś sposób pomogą. W pierwszej kolejności do walki z nieprzyjacielem poszedł skaner MKS. Niestety Internet Explorer 8 poległ w przedbiegach,nie mogąc połączyć się ze stroną internetową skanera (wcześniej takich problemów nie miałem). Jeżeli nie MKS, to może TredMicro i Firefox (później Opera). Tutaj też niestety nieprzyjaciel okazał się bardziej przebiegły.

Wojna zakończyła się restartem systemu, po którym system nie podniósł się już z kolan. Wręcz przeciwnie – położył się na plecach i powiedział: „I will back”.

Oczywiście system wróci, jeżeli tylko znajdę czas i postawie go na nogi.

Cieszy jedynie fakt, że system miałem postawiony na osobnej partycji, więc ewentualna utrata cennych danych nie wchodzi w grę. No chyba, że ustawienia Firefoksa i AQQ, ale to w sumie nie problem, ponieważ zawsze pod koniec dnia robię kopię zapasową tych ustawień.

Szczerze powiem, że nawet nie jestem zły na siebie. Gdy system nie chciał się już uruchomić po restarcie, pomyślałem: „Wreszcie, bo trzy lata to już za długo nawet jak na system, o którym sam dbam”. Zresztą jak widać, od świata nie jestem odcięty. W rezerwie mam zawsze laptopa, który jest moim wiernym kompanem podczas każdej podróży, więc i teraz się przyda