We środę Dziennik Internautów informował o wykryciu luki w kompilerze Just-in-time (JIT), który jest elementem nowego silnika JavaScript - TraceMonkey. Udany atak przy użyciu tej luki może spowodować w systemie Windows automatyczne uruchomienie dowolnego kodu, jeśli użytkownik odwiedzi specjalnie przygotowaną stronę WWW.

Użytkownicy, którzy wyłączyli wcześniej kompilację JIT, po zainstalowaniu poprawki powinni przywrócić oryginalne ustawienia. Aby to zrobić, należy:

• w pasku adresowym wpisać about:config (po wyświetleniu się komunikatu ostrzegającego, że modyfikacja ustawień może spowodować problemy, trzeba kliknąć przycisk "Zachowam ostrożność, obiecuję!"),
• w polu "Filtr" wpisać jit,
• wyszukać javascript.options.jit.content i ustawić wartość na true.

Programiści Mozilli naprawili ponadto błąd opisany w ubiegłym tygodniu na blogu Fransa Bouma. Okazało się, że podczas startu Firefoksa inicjowany jest generator liczb losowych w usłudze Network Security Services (NSS), który wczytuje pliki m.in. z katalogu pamięci podręcznej Internet Explorera oraz systemowego folderu plików tymczasowych. Przy częstym używaniu katalogi te mogą zawierać dużo plików, co spowalnia uruchamianie się przeglądarki.

Usterka występuje w niektórych wersjach Windowsa pozbawionych biblioteki CryptoAPI. W najnowszym Firefoksie zastąpiono wywołanie CryptoAPI funkcją CryptGenRandom, którą powinien dysponować każdy system Microsoftu. W przypadku Linuksa i Mac OS X błąd nie pojawia się, usługa NSS otwiera bowiem pseudourządzenie skojarzone z plikiem specjalnym /dev/urandom.

Przeglądarkę w wersji 3.5.1 można pobrać z oficjalnej strony Mozilli, natomiast pełna lista zmian dostępna jest w serwisie Bugzilla.

Aktualizacja

Jak dowiedli eksperci od bezpieczeństwa, najnowsze wydanie Firefoksa nie jest pozbawione błędów. Na blogu Piotra Koniecznego można znaleźć przykładowy kod proof-of-concept.

Mike Shaver, wiceszef inżynierów w zespole Mozilli, przekonuje na jednym z firmowych blogów, że luka znaleziona w wersji 3.5.1 nie jest groźna - nie można jej wykorzystać do zaatakowania użytkownika podczas przeglądania stron WWW. W skrajnym przypadku błąd powoduje zawieszenie się systemów Windows i Mac OS X.