Date: Wed, 04 Feb 2009 17:20:03 +0200
Reply-To: unaaldia-comentarios@hispasec.com
Precedence: bulk
From: noticias@hispasec.com
To: unaaldia@hispasec.com
MIME-Version: 1.0
Content-Type: text/plain;
  charset=iso-8859-1
Subject: una-al-dia (03/02/2009) La nueva versión de Firefox
 soluciona seis vulnerabilidades
Sender: unaaldia-admin@hispasec.com
Errors-To: unaaldia-admin@hispasec.com
Message-Id: <20090204162129.1520A726AC8@rephaim.pta.hispasec.com>
X-pressenter_com_ar-MailScanner: Found to be clean
X-pressenter_com_ar-MailScanner-From: unaaldia-admin@hispasec.com
X-Spam-Status: No
Content-Transfer-Encoding: quoted-printable


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

 -------------------------------------------------------------------
  Hispasec - una-al-d=EDa                                  03/02/2009
  Todos los d=EDas una noticia de seguridad          www.hispasec.com
 -------------------------------------------------------------------
=20
 La nueva versi=F3n de Firefox soluciona seis vulnerabilidades
 -----------------------------------------------------------

Mozilla ha publicado su nueva versi=F3n 3.0.6 de Firefox, abandonando ya=20
por primera vez la rama 2.x en cuesti=F3n de seguridad. Como todas las=20
peque=F1as actualizaciones de Firefox, su fin principal es solucionar=20
vulnerabilidades, seis en este caso. Tambi=E9n afectan a Seamonkey y=20
Thunderbird, aunque, como de costumbre, de estos programas no se=20
publicar=E1 actualizaci=F3n hasta m=E1s adelante.=20

Brevemente, las vulnerabilidades de Firefox clasificadas por criticidad=20
son:=20

Bajas:=20
* Las directivas con las que las p=E1ginas indican que no deben ser=20
cacheadas no eran aplicadas.=20
* Se pod=EDan leer las cookies HTTPOnly con XMLHttpRequest.=20

Moderadas:=20
* Elevaci=F3n de privilegios en Chrome a trav=E9s de ficheros .desktop.=20

Altas:=20
* Robo de ficheros locales con SessionStore.=20
* Cross-site scripting usando el m=E9todo XBL y window.eval.=20

Cr=EDticas:=20
* De nuevo problemas con JavaScript y evidencias de posibilidad de=20
ejecuci=F3n de c=F3digo.=20

Otra vez el motor JavaScript como el origen de la mayor=EDa de problemas=20
de seguridad graves en Firefox. Al menos, no se tiene constancia de que=20
los fallos de seguridad hayan sido aprovechados de forma regular por=20
atacantes, ni de la existencia de exploits p=FAblicos.=20

Aunque Thunderbird sufre de cuatro de estos =FAltimos problemas de=20
seguridad, todav=EDa no se ha publicado la versi=F3n que los soluciona.=20
Habitualmente su publicaci=F3n se retrasa varios d=EDas, sin motivo=20
aparente. En este caso se espera que la versi=F3n 2.0.0.21 del cliente=20
de correo solvente los fallos, pero no se sabe cu=E1ndo ver=E1 la luz.=20

Esta es la primera tanda de vulnerabilidades corregidas en 2009 por la=20
fundaci=F3n Mozilla. En los a=F1os anteriores, la media de publicaci=F3n =
habla=20
de, aproximadamente, un lote de boletines de seguridad cada mes, sin=20
regularidad preestablecida. En 2008 la fundaci=F3n Mozilla public=F3 69=20
boletines de seguridad, que correg=EDan m=E1s de 70 vulnerabilidades=20
(algunos boletines advert=EDan sobre m=E1s de una vulnerabilidad). 29 de=20
ellos fueron calificados como cr=EDticos (el 42%). En 2007, 14 eran=20
cr=EDticos de un total de 40 boletines (el 35%). La inmensa mayor=EDa de=20
los fallos graves, han estado relacionados con el motor JavaScript del=20
navegador.=20

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3755/comentar

M=E1s informaci=F3n:

Mozilla Foundation Security Advisories
http://www.mozilla.org/security/announce/


Sergio de los Santos
ssantos@hispasec.com


 Tal d=EDa como hoy:
 -----------------

03/02/2008: Actualizaci=F3n del kernel para Red Hat Enterprise Linux 4.x
    http://www.hispasec.com/unaaldia/3389

03/02/2007: Nuevos contenidos en CriptoRed (enero de 2007)
    http://www.hispasec.com/unaaldia/3024

03/02/2006: M=FAltiples vulnerabilidades en Mozilla Firefox
    http://www.hispasec.com/unaaldia/2659

03/02/2005: Vulnerabilidades de alto riesgo en Eudora 6 para Windows
    http://www.hispasec.com/unaaldia/2294

03/02/2004: Microsoft corrige la vulnerabilidad de falsificaci=F3n de URL=
s en Internet Explorer
    http://www.hispasec.com/unaaldia/1927

03/02/2003: Antivirus: el efecto "zoo"
    http://www.hispasec.com/unaaldia/1562

03/02/2002: Fallo de verificaci=F3n de usuarios en los dominios de confia=
nza
    http://www.hispasec.com/unaaldia/1197

03/02/2001: Nuevos contenidos en CriptoRed
    http://www.hispasec.com/unaaldia/832

03/02/2000: La B.S.A abre la veda
    http://www.hispasec.com/unaaldia/464

03/02/1999: Virus para Linux
    http://www.hispasec.com/unaaldia/99


 -------------------------------------------------------------------
  Claves PGP en http://www.hispasec.com/directorio/hispasec
 -------------------------------------------------------------------
  Bajas:   mailto:unaaldia-request@hispasec.com?subject=3Dunsubscribe=20
  Altas:   mailto:unaaldia-request@hispasec.com?subject=3Dsubscribe
 -------------------------------------------------------------------
  (c) 2009 Hispasec               http://www.hispasec.com/copyright
 -------------------------------------------------------------------

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (MingW32)

iQEcBAEBAgAGBQJJib9bAAoJENe2Eih95ryua34H/3QGKXjSIQ9o8xKcYDrcu+GF
grJwsn+4uztzVdQUp9IUz8/3Ldy7janFB6W71NxdiFsSRE+MUAkOSnugMR/o+a6P
isiwDdD2F9Ru1akv2jnoss38z9MCbXrPPZjt6Oe+CJExW/BeYRo2pa2JeJhGmIgX
261MlMoRgd7ZzHEkjfSFjq/m1NFcy5FXYM8l0Di4O5iR4sPaMKPrQ8iefVQQaM15
P3A7oXS547fNDcI+t0kERlC22oU/w7p5ikDnk9JRhpTa5zbLvTR1WuoeMj/caK51
+vwlLAYfvqr3/lcoaf6AcXnSDcWMUZcfM8yhbORJ946hI/leZstBOZSX1Ec6fns=3D
=3DFvmn
-----END PGP SIGNATURE-----