Mozilla und Firefox geben Inhalte des Speichers preis

Ein Fehler in der JavaScript-Implementierung der Websuite Mozilla und des Standalone-Webbrowsers Firefox offenbart Angreifern Teilinhalte des Hauptspeichers. Unter Umständen sind darin vertrauliche Daten aus vorhergegangenen oder noch aktiven Browser-Sessions enthalten. Die Schwachstelle findet sich in der Replace()-Funktion. Bei Lambda-Expressions als zweitem Argument, also der Angabe einer Funktion statt eines Parameters, liefert die JavaScript-Engine noch Teile des Speichers hinter dem resultierenden String mit.

......

Betroffen sind sowohl die Windows-Versionen von Firefox 1.0.1, 1.0.2 und Mozilla 1.7.6 als auch die Linux-Versionen. Laut Eintrag in der Mozilla-Fehlerdatenbank ist der Fehler in den gegenwärtigen Entwicklerversionen bereits behoben. Bis zur Veröffentlichung einer offiziellen Version hilft nur, JavaScript abzuschalten.

den ganzen Artikel lesen?: http://www.heise.de/newsticker/meldung/58228

Schade nur dass sich eXma dadurch zu weiten Teilen nicht mehr benutzen lässt...
naja..die jungs werden bestimmt fieberhaft an der Schwachstelle arbeiten und die paar Tage halte ich es ohne Java aus

jetz machs mal nich schlimmer als es is und verbreite keine panik. das einzige wozu man hier java braucht is das chat applet. und das kann man ja mit einschlägigen irc-clients umgehn. außerdem... wenn wir alle seit ewigkeiten mit dieser sicherheitslücke surfen wirds ja nu auch nich so wild sein, wenn wir das noch ein paar tage oder wochen weiter tun bis ein patch oder eine neue version draußen is. vorm onlinebanking könnte man ja mal das java ausschalten, weils jetz durch die meldung mehr potentielle ausnutzer des fehlers überhaupt mitgekriegt haben. aber sonst... nich verrückt machen lassen

also...

ohne javascript kann ich mich net einloggen...
ich kann die buttons beim posten oben vergessen die mich eine url, ein bild etc kinderleicht einfügen lassen...

ich kann die smilies nicht mehr anwählen...


sag ich jetzt nur mal so...

und das die schwachstelle net grad locker zu handlen iss steht ja im bericht:



das iss schon starker tobak...
und wenn wir wirklich schon seit jahren damit surfen...
meine fresse

ich hab grad ma nen aktuellen aviary release (nightly) gezogen, weil mich das dumme update icon genervt hat unds für die offiziellen releases ja keine zip builds mehr gibt.
jedenfalls steht da schon versionsnummer 1,0,3 drin und der bug scheint zu behoben. die demo von dem bug ging gestern oder vorgestern noch bei mir und jetz spucktse nurnochd as als ergebnis aus:

ich schätze ma, der release wird morgen oder in den nächsten tagen offiziell rausgegeben, dann könnt ihr auch wieder getrost javascript erlauben (nich zu verwechseln mit java)...

asche auf mein haupt, ich hab beim überfliegen nur "java" mitgekriegt. mir ist durchaus bewusst dass es einen unterschied zwischen java und javascript gibt.

gibt neuigkeiten an der javascript-front??

die entwickler arbeiten immernoch an version 1.0.3, ham aber probleme mit der lauffähigkeit diverser extensions.
ich hab grad ne version von mitte der woche oder so und da is alles prima, der test spuckt auch immernoch nur xxx... aus und meiner extensions laufen alle.

also alles halb so wild...