Welche Sicherheitslücken wurden in Version 0.9.3 gepatched?

Belly

Hi Leute,

haltet mich für ne Schlafmütze, aber ich hatte echt keine Zeit mich damit genauer zu beschäftigen...

Ich verwende noch die Version 0.9.1 unter Suse Linux, weil es von der aktuellen (noch?) keine Version ohne XFT gibt und ich die normale nicht so toll finde. Damit stehe ich zwar ziemlich alleine da, aber über Geschmack läßt sich halt nicht streiten...

Die ganze Sachen bei den erweiterten Javascriptoptionen habe ich deaktiviert, damit sollten die
XUL-Sachen ja rausfallen: http://www.heise.de/newsticker/meldung/49608 (oder?)

Den libpng-Bug http://www.heise.de/newsticker/meldung/49786 hat Suse gefixt.

Und jetzt die Frage: Gibt es überhaupt noch einen anderen, sicherheitsrelevanten Bug als Grund für ein Update?
Hat jemand da vielleicht gute Links für mich, wo man das verständlich nachlesen kann?

pytheas

Das sind die gefixten Bugs: http://bugzilla.mozilla.org/buglist.cgi?bu…4,250906,253121

MArty

Belly

Das hab ich bei Heise auch gelesen.
Dummerweise gilt Bugs!=Sicherheitslücken und ich hatte keinen Nerv mich da komplett durchzuarbeiten.

pytheas

Durcharbeiten? Du musst nur die Überschriften lesen, dann steht da sowas wie "Importing false CA certificate leading to error -8182 (perm DoS), especially exploitable by email".

Nicht böse gemeint, aber wenn du zu faul zum Lesen bist, dann kann dir im Forum wohl auch keiner helfen. Sorry.

Belly

Ich bin nicht zu faul zum Lesen. Ich bin nur etwas überfordert damit, zuzuordnen welcher Bug sicherheitstechnisch gefährlich ist. Sicher geht das nicht nur mir so...

Bei dem von dir erwähnten kann ich es zum Beispiel so einfach nicht sagen.
Aber du kannst mir da ja sicher auf die Sprünge helfen, gell?

pytheas

Der von mir erwähnte bedeutet, dass man dir z.B. aber vor allem per mail ein ungültiges Zertifikat unterschieben kann, das einen Zugriff auf die entsprechende verschlüsselte Seite dauerhaft unmöglich macht. (perm DoS)

Prinzipiell kann man denke ich sagen, dass "vulnerabilities" oder "exploitable" generell auf einen sicherheitsrelevanten Bug hinweisen. Auch die Einstufung der Bugs (major, critical) hilft beim einschätzen.

Jedenfalls möchte ich nicht guten Gewissens sagen, dass du nicht updaten brauchst, da ich nicht ausschließen kann, dass eine vorhandene Sicherheitslücke ausgenutzt werden könnte. Allerdings solltest du da du Linux benutzt nicht gerade anfällig für Dinge wie Dialer, Viren und Co sein, sollte jemand die Sicherheitslücken trotz den fixes noch für so etwas ausnutzen wollen.

Marty

Belly

OK, diese Aussage hilft mir schon viel weiter.
Wenn ich also keine Mailanhänge ausführe (das tue ich nicht ) ist in dem Falle alles gut.

pytheas

Für das Problem mit den Zertifikaten brauchst du keinen Anhang zu öffnen. Für sonstige Anhänge würde ich sagen, dass SuSE dann doch nicht so viel mit den per Anhang verschickten ausführbaren Dateien anzufangen weiß.

Das Zertifikatsproblem liese sich aber soweit ich mich erinnere auch einfach mit dem Löschen des Zertifikatsspeichers beheben, sollte es einmal auftreten.