Ce bogue de Firefox peut planter le navigateur et votre système d'exploitation
- Catégorie: Firefox
Un bogue récemment découvert dans la version de bureau du navigateur Web Firefox peut planter le navigateur et, dans certaines circonstances, l'ensemble du système d'exploitation.
Découvert et révélé par le chercheur en sécurité Sabri Haddouche, le bogue provoque le blocage du navigateur Web Firefox lorsqu'un site Web spécialement préparé est chargé dans le navigateur Web.
Ce qui se passe alors dépend du système d'exploitation. Firefox affiche l'invite Crash Reporter du navigateur sous Linux et Mac OS X, qui peut être utilisée pour informer Mozilla du crash et pour redémarrer Firefox.
Les utilisateurs de Firefox sous Windows qui chargent un site Web spécialement préparé remarqueront que l'ensemble du système d'exploitation se bloque. La seule option pour s'en sortir est de réinitialiser le PC pour qu'il redémarre.
Remarque : J'ai essayé le bug sur une distribution Linux dans une machine virtuelle et Firefox ne s'est pas planté lorsque j'ai ouvert une page contenant le code d'exploit. Firefox a affiché une invite d'avertissement «impossible d'enregistrer le téléchargement» et l'onglet s'est écrasé. Le crash n'a eu aucun effet sur les autres onglets ouverts dans le navigateur.
Vous pouvez consultez le code sur le site Web GitHub du chercheur. Le code d'exploitation génère des fichiers avec des noms de fichiers longs et lance un téléchargement de fichier toutes les millisecondes. Le crash est causé par le flot de requêtes qui à tout le moins gèlent le navigateur Web.
Une version live de l'exploit est disponible sur le site du chercheur Bugs de la faucheuse . L'ouverture du site lui-même n'a aucun impact négatif sur le navigateur. Vous devez sélectionner l'un des exploits disponibles, par exemple Récupérez Firefox et confirmez l'invite «danger» qui s'affiche pour exécuter le code.
Notez que cela peut geler ou planter le navigateur et même le système d'exploitation dans certaines circonstances. Assurez-vous que vous avez enregistré tout le travail avant de l'exécuter ou de l'exécuter dans un environnement de test.
Toutes les versions actuelles de Firefox pour le bureau sont affectées, y compris les versions Nightly et Beta du navigateur.
Mozilla semble être conscient du problème et travaille actuellement sur une solution. Haddouche a précédemment publié des exploits pour Chrome, Safari et iOS qui affectent les navigateurs et les systèmes d'exploitation de la même manière.
Découvrez Pure CSS plante les iPhones pour notre couverture de l'un des problèmes.
Mots de clôture
Toutes les versions récentes du navigateur Web Firefox sont concernées par le problème. Il semble peu probable que la question soit exploitée à plus grande échelle; Pourtant, il semble que les utilisateurs de Firefox ne puissent pas faire grand-chose pour le moment pour protéger le navigateur contre le problème. Définir le comportement de téléchargement du navigateur sur «toujours demander» ne semble pas l'empêcher.
Une extension de navigateur comme NoScript empêche les scripts de s'exécuter par défaut.