O przygotowaniu exploita na nową dziurę w Firefoksie jej odkrywca poinformował na forum firmy Immunity, exploit ten został bowiem dodany do wtyczki VulnDisco poszerzającej możliwości komercyjnego oprogramowania do testów penetracyjnych autorstwa Immunity.

Legerov nie ujawnił szczegółów na temat znalezionej usterki. Secunia od razu uznała ją jednak za krytyczną, zwłaszcza że w tym samym czasie zaobserwowano gwałtowne zmiany w ilości awarii najnowszej wersji Firefoksa - powstało podejrzenie, że kod exploita przedostał się do sieci.

>> Czytaj więcej: Exploit na niezałataną dziurę w Firefoksie 3.6

Legerov długo nie reagował na wezwania Mozilli, która chciała uzyskać więcej informacji o usterce. Dopiero w miniony czwartek producent przeglądarki potwierdził istnienie błędu, gdy twórca exploita zdecydował się na współpracę. Jego wcześniejsze milczenie niektórzy eksperci ds. bezpieczeństwa skłonni byli uznać za dowód na nieprawdziwość doniesień o luce, o czym szerzej pisze Carsten Eiram z Secunii w tekście pt. Mozilla To Fix Vulnerability Claimed To Be Fake.

Mozilla przyznała, że błąd jest poważny i może posłużyć do zdalnego, nieautoryzowanego uruchomienia kodu. Nie spieszy się jednak z łataniem - zaktualizowana wersja przeglądarki ukaże się dopiero za 10 dni.

Nie oznacza to jednak, że w zbliżającym się konkursie hakerskim Pwn2Own Firefox ustąpi pola przeglądarkom innych producentów. Jak w komentarzach pod innym tekstem w DI zauważył jeden z Czytelników, zgodnie z regulaminem zawodnicy nie mogą korzystać z luk, których szczegóły zostały już upublicznione.

>> Czytaj także: Mozilla nakłania do migracji na Firefoksa 3.6