https://www.opennet.dev/openforum/vsluhforumID3/110718.html Доступен (https://www.mozilla.org/en-US/firefox/52.0.1/releasenotes/) корректирующий выпуск Firefox 52.0.1 c устранением уязвимости (https://www.mozilla.org/en-US/security/advisories/mfsa2017-08/) (CVE-2017-5428 (https://security-tracker.debian.org/tracker/CVE-2017-5428)), которой присвоен критический уровень опасности. Уязвимость была продемонстрирована (https://twitter.com/thezdi/status/842546893989138432) командой Chaitin Security Research Lab в рамках конкурса Pwn2Own 2017 (https://www.opennet.ru/opennews/art.shtml?num=46213). <br><br><br><br>В сочетании с системной уязвимостью в ядре Windows, позволившей выйти за пределы sandbox-окружения, проблема в Firefox дала возможность организовать выполнение кода в системе при открытии в браузере специально оформленной web-страницы. Проблема вызвана целочисленным переполнением в функции createImageBitmap(). Для блокирования уязвимости разработчики Firefox временно отключили экспериментальный API createImageBitmap. Вызов <br> createImageBitmap() (https://developer.mozilla.or https://www.opennet.dev/openforum/vsluhforumID3/110718.html#29 Tue, 21 Mar 2017 09:09:24 GMT В браузере с большим набором функций и со своим движком оно и должно было произойти. В отличие от Google Chrome и т.п. браузеров, где функционал не дотягивает, там их намного думается мне больше. Уверен, отрубили, допилят. И всё на этом.<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#28 Mon, 20 Mar 2017 07:18:55 GMT &gt;у них не хватило мозга быстро понять, в чем уязвимость, и они просто заблокировали фичу преференсом<br><br>не суди по себе<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#27 Sat, 18 Mar 2017 22:25:14 GMT &gt; только экспериментальные _дополнительные_ возможности<br><br>ну да, иначе бы они canvas вообще сломали бы напрочь.<br><br>но исходный-то поинт был не в этом, а в том что выдавать изменение положения переключателя в конфиге за исправление связанное с безопасностью, это даже для мазиллы немного, гхм, необычно.<br><br>кстати, в [2] вроде все правки честно пропущены через review и обтыканы тестами. Чавой-то нам врут, что ревью не было? ;-)<br><br>P.S. кто знает, что за хрень эта foxeye? Походу, тырилка экрана пользователя?<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#25 Sat, 18 Mar 2017 21:03:19 GMT Судя по официальной информации [1] и по элементарной проверке `'createImageBitmap' in window`, отключили не целиком `createImageBitmap()`, а только экспериментальные _дополнительные_ возможности (видимо, [2]).<br><br>&gt; The fix for this vulnerability disables the experimental extensions to the createImageBitmap API.<br><br>[1] https://www.mozilla.org/en-US/security/advisories/mfsa2017-08/<br>[2] https://bugzilla.mozilla.org/show_bug.cgi?id=1141979<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#24 Sat, 18 Mar 2017 18:29:22 GMT &gt; Очевидно, фича стала экспериментальной сразу как идиоты поняли что снова налажали <br><br>Фича изначально была экспериментальной, и включена только для экспериментальных сборок. См. комментарий #14<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#23 Sat, 18 Mar 2017 18:26:18 GMT &gt; простите, что такое "экспериментальная фича"? В релизе? В релизе.<br>&gt; Отключается пользователем? Нет, не отключалась (собственно, именно эту возможность патч и добавляет).<br>&gt; А-а-а, это мазила-адвокаси вам напела что "экспериментальная", да?<br><br>Если вы о том патче, на который дали ссылку, то он не добавляет возможность отключения фичи, он отключает её для всех. А возможность отключения была и раньше.<br><br>Разбираю по полочкам:<br>Коммит, на который вы дали ссылку, создаёт файл SOURCES/mozilla-1348168.patch. Левый ряд плюсов там показывается потому, что создаётся новый файл. Его содержимое - это содержимое этого зелёного бокса, но без этого одного ряда плюсов. Сам файл - тоже дифф, поэтому есть второй ряд плюсов и минусов. На него и надо смотреть.<br><br>-#ifdef RELEASE_OR_BETA<br>+// Disable the ImageBitmap-extensions for now.<br> pref("canvas.imagebitmap_extensions.enabled", false);<br>-#else<br>-pref("canvas.imagebitmap_extensions.enabled", true);<br>-#endif<br><br>То есть раньше фича была включена только для экспериментальных с https://www.opennet.dev/openforum/vsluhforumID3/110718.html#20 Sat, 18 Mar 2017 16:20:12 GMT Обещали. Только эта уязвимость.<br>https://www.mozilla.org/en-US/firefox/52.0.1/releasenotes/<br>https://www.mozilla.org/en-US/security/known-vulnerabilities/firefox/#firefox52.0.1<br>&gt; бинарный дифф будет таки не на два байта<br><br>В торбраузере видел 5-6 мб патчи часто. И от самой лисы 6 на минорных. Тут жирноват таки.<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#19 Sat, 18 Mar 2017 15:04:09 GMT "...В сочетании с системной уязвимостью в ядре Windows, позволившей выйти за пределы sandbox-окружения..." ;)<br><br>А сама по себе изоляция - штука полезная. Не бывает кода без багов, особенно если код немного сложнее, чем Hello World.<br> https://www.opennet.dev/openforum/vsluhforumID3/110718.html#18 Sat, 18 Mar 2017 14:59:30 GMT &gt; пора уже делать что-то наподобие фаервола, но для API<br><br>поздравляю с изобретением sandbox.<br><br>помогает, что характерно, примерно как файрволл - то есть крайне редко (потому что это опять заметание крошек под плинтус, а не устранение проблемы)<br>