Перейти к содержанию
vaber

Браузер Firefox 1.5.0.3 подвержен DoS атакам

Recommended Posts

Сергей Ильин
Есть ли подобные ресурсы и авторов FireFox - я очень сомневаюсь.

За Firefox больщое комьюнити людей, ресурс, который сложно переоценить, и дыры они ищут точно также, тут даже все проще, так код открытый.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
За Firefox больщое комьюнити людей, ресурс, который сложно переоценить, и дыры они ищут точно также, тут даже все проще, так код открытый.

да, да -- точно, точно

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Мои соображения следующие: Поиск уязвимостей при наличии исходинков задача гораздо более простая, чем при анализе только конечного продукта. Следовательно, если бы в IE и Firefox узявимостей было бы поровну, но в Firefox их находили бы гораздо больше, так как это не так, то значит их горзадо меньше.

Согласен, тут мы вообще упираемся в плюсы и минусы open sourse :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Согласен, тут мы вообще упираемся в плюсы и минусы open sourse :-)

Верно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Это легко объяснить одной простой вещью: если какая-то программа становится довольно популярной, то и интерес к ней со стороны не чистых на руку граждан сразу же возрастает. Как известно, только ленивый не пытался взломать или найти дырку в IE

Верно

но при этом нужно учитывать каким ресурсом обладает Microsoft и как дорожит своей репутацией, поэтому и дырки они часто ищут сами и найденные другими стараются заделать как можно быстрее.

Есть ли подобные ресурсы и авторов FireFox - я очень сомневаюсь.

Думаю, что это не так. Насколько я знаю, Mozilla не менее оперативно реагирует на появление новых уязвимостей.

Добавлено спустя 7 минут 45 секунд:

Есть принципиальное отличие. У Firefox открыты исходники, а это значит, что любой исследователь по безопасности может поискать уязвимости прямо в коде. В случае с IE все исследователи исследуют "черный ящик".

Исходя из этого, мне кажется, что даже при одинаковой частоте обнаружения уязвимостей, в Firefox еще не найденых уязвимостей должно быть на порядок меньше, чем у IE.

С одной стороны Вы правы Михаил, но есть и оборотная сторона медали. Есть исходники проще - писать вирусы и эксплойты...И вывод напрашивается сам собой...

Добавлено спустя 8 минут 18 секунд:

Назовите еще несколько.

:) Сразу несколько назвать не смогу. Первое, что на ум приходит - это популярность браузера. Об этом я писал выше. Безопасность браузера обратно пропорциональна его популярности...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
Безопасность браузера обратно пропорциональна его популярности

интересная логика, только слабо верится, что есть такая связь между безопасностью и популярностью. С популярностью связана такая величина, как количество багов найденных в единицу времени независимыми исследователями, количество независмых исследователей как раз определяется популярностью. Определяется ли риск наступления ИБ количеством багов в браузере это несомненно. Это влияет на безопасность работы с Интернет, точнее со специально сформированными страницами, которые как раз и создавались для вреда. Так вот с популярностью связана величина определяющая уровень безопасности, чем выше популярность тем выше безопасность.

Пример из жизни: как связана угроза жизни популярной личности с её полярностью? Ответ очевиден. А как связана безопасность с популярностью? ответ сложнее.. на каждый уровень безопасности должен как минимум один поглощающий уровень популярности (несущей ВРЕД) . Уровней обеспечивающий безопасность должно быть больше, нежели уровней несущих УГРОЗУ.

Обыкновенному человек не надо никаких уровней безопаности - его жизнь, в данном случае, - тер вер.

Но если исходить из корневого высказывания - то всё неизвестное ВСЁ самое лучшее и безопасное... не понятно как вообще маркетинг жив после этого..

Потому что безопасные решения надо продавать тихо, без рекламы :)))) и громких обсуждений.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
интересная логика, только слабо верится, что есть такая связь между безопасностью и популярностью.

Тут смотря как делать оценку, если смотреть по количеству уязвимостей, а еще лучше по количеству вредоносного кода (эксплойтам), то картина будет одна - зависимость между популярность и безопасностью есть, собственно чаще всего это и используют для оценки безопасности, хотя не совсем это верно на мой взгляд.

А с другой стороны, если ПО не распространено и уязвимости в нем не находят пачками, то это вообще ничего не значит. Против тех же точечных атак любой софт потенциально уязвим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
интересная логика, только слабо верится, что есть такая связь между безопасностью и популярностью.

Именно так, как бы парадоксально это ни звучало.

А с другой стороны, если ПО не распространено и уязвимости в нем не находят пачками, то это вообще ничего не значит. Против тех же точечных атак любой софт потенциально уязвим.

От точечных атак все уязвимо, так что не стоит рассматривать этот аспект.

Если пользоваться экзотическим браузером, клиентом электронной почты и операционной системой, то ты "неузявим" (не считая социальной инженерии --- фишингом).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Михаил Кондрашин

тогда любой новый продукт можно автоматически считать безопасным :).. и при некоторой популярности просто предлагать другой новый продукт..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Михаил Кондрашин

тогда любой новый продукт можно автоматически считать безопасным :).. и при некоторой популярности просто предлагать другой новый продукт..

Мое утверждение носило теоретический характер. На практике, попробуйте "предложите" кому-нибудь перейти на BeOS или QNX с Windows...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
Если пользоваться экзотическим браузером, клиентом электронной почты и операционной системой

до конца экзотическими они быть не могут, так как всё подвержено стандартизации (или только в личном использовании) но the bat в своё время творил чудеса :)))

Добавлено спустя 2 минуты 43 секунды:

Мое утверждение носило теоретический характер. На практике, попробуйте "предложите" кому-нибудь перейти на BeOS или QNX с Windows...

вот вот..поэтому на практике.. начинается построение ЗАЩИТЫ..и уже уровень безопасности начинается повышаться за счёт дополнительных средств защиты..

В итоге, популярные продукты никто в голом виде не рассматривает..

если винды - то + 3 составляющих.. и т п

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
интересная логика' date=' только слабо верится, что есть такая связь между безопасностью и популярностью.[/quote']

Связь есть, и она носит априорный характер!

Пример из жизни: как связана угроза жизни популярной личности с её полярностью? Ответ очевиден. А как связана безопасность с популярностью? ответ сложнее.. на каждый уровень безопасности должен как минимум один поглощающий уровень популярности (несущей ВРЕД) . Уровней обеспечивающий безопасность должно быть больше' date=' нежели уровней несущих УГРОЗУ.[/quote']

Интересный пример. А можно я приведу свой?

Возьмем два браузера – A и В. Допустим браузер А чрезвычайно популярен, и, следовательно, является объектом пристального внимания как со стороны добросовестных, так и не очень специалистов в области компьютерной безопасности. И те и другие ищут уязвимости. Первые - с целью доведения до сведения разработчиков для их последующего устранения, а вторые – для того, чтобы писать вирусы и эксплойты и воспользоваться ими (или предоставить эту возможность другим).

Идем далее. Допустим, что в браузере А ежегодно обнаруживается до 12, а в браузере В их находят не более 2 в год. Предположим, что на устранение уязвимости в среднем требуется 1 месяц, тогда получаем такой результат: браузер А остается незащищенным весь год (доступна 1 уязвимость в соответствующем месяце), а браузер В – всего 2 месяца.

Представим себе, что с течением времени, популярность браузера А возрастает и в нем ежегодно обнаруживают 24 уязвимости, а В степень популярности браузера В остается неизменной. В итоге имеем, что браузер А , по- прежнему уязвим весь год, но при таком раскладе доступна уже 2 уязвимости ежемесячно! (Это легко обосновать не только с помощью простейших математических действий, но и с помощью элементарной логики: разработчик браузера А просто не успевает, или на определенном этапе не будет успевать создавать и выпускать патчи). А браузер В уязвим всего 2 месяца и при этом доступна всего 1 уязвимость!

Так продолжать можно, теоретически, бесконечно. Вывод: рост популярности браузера понижает степень его защищенности, что и требовалось доказать.

P.S. Можно, конечно попытаться опровергнуть тезис, утверждая, что в браузере А большая часть уязвимостей известна широкой публике и их легче устранять (что само по себе требует доказательств), но известность широкой публике означает и доступность широкой публике. Если уязвимость известна только1-2 хакерам, то соответственно она может использоваться этими 1-2 хакерами. Согласитесь, вероятность столкнуться с проблемой использования данной уязвимости ничтожно мала. Другое дело, когда уязвимость известна 10 000 хакерам. Тут вероятность наступления негативных последствий существенно возрастает, причем не только по количеству используемых вирусов и т.д., но и по их разнообразию.

Согласен, что все это схематично и требует проверки практикой, по этому на истину последней инстанции не претендую

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Mr. Justice, спасибо, очень хороший пример, мне лично в голову не приходило таким образом рассчитывать уязвимость ПО.

Вообще я думаю, что нужно считать не просто общее найденное кол-во дыр, а именно те дыры, для которых реально есть эксплойт.

Кстати, тоже вопрос, какой процент дыр реально эксплотируются злоумышленниками?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
спасибо' date=' очень хороший пример, мне лично в голову не приходило таким образом рассчитывать уязвимость ПО.[/quote']

Не за что! очень рад, что Вам понравилось. Хотелось бы еще раз обратить внимание, что все сказанное мной носит условный характер

Вообще я думаю' date=' что нужно считать не просто общее найденное кол-во дыр, а именно те дыры, для которых реально есть эксплойт.[/quote']

Полностью согласен. Практика может исказить мои выводы. Это кстати относится как к популярным браузерам, так и не очень. Я брал средние и условные цифры. В реальности они могут отличаться как в большую, так и в меньшую сторону. И это нужно учитывать. Повторю, что мои рассуждения носят схематичный характер. Я считаю, что на безопасность браузера может влиять целый комплекс факторов, одним из которых является популярность браузера

Кстати' date=' тоже вопрос, какой процент дыр реально эксплотируются злоумышленниками?[/quote']

Таких данных, к сожалению, у меня нет. А есть ли они вообще? Сам по себе вопрос интересный. Может быть кто-нибудь из участников форума располагает подобными статистическими данными.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

а задумывались ли Вы о том, откуда берутся дырки и эксплойты к ним?

до 60% дыр находят команды занимающиеся выпуском продуктов для защиты от этих и других дыр.

ISS, EEYE, XPIDER :), CHECKPOINT все имеют подразделения по поиску дыр в ПОПУЛЯРНЫХ и не очень продуктах.

И регулярно публикуют отчёты :) при чём потом выпускают защиту.

Если внимательно посмотреть на Антивирусных вендоров, защита от вирусов эксплуатирующих уязвимости, т.е. эксплуатирующие эксплойты, выходит раньше чем официальные заплаты, иногда значительно раньше.. О чём это говорит.. можно догадаться :))

В целом мой пост о том, что ВЫ рассматриваете безопасность голого браузера, в природе такого не бывает. И в реальной ситуации её обеспечивает не только вендор браузера.. ПОЭТОМУ ИНОГДА НЕ СПЕШИТ.

Сергей Ильин писал(а):

Кстати, тоже вопрос, какой процент дыр реально эксплотируются злоумышленниками?

Таких данных, к сожалению, у меня нет. А есть ли они вообще? Сам по себе вопрос интересный. Может быть кто-нибудь из участников форума располагает подобными статистическими данными

это оценка безопасности ПОСТФАКТУМ. или за 2005 год :))))

Возникает вопрос: считать ли adware проявлением эксплуатации уязвимости?

В общем то наличие хотя бы одной уязвимости у супер редкого продукта это критично. Причина следущая. Человек обладающий супер силой пытается её везде приложить.. и шастает где не попадя.

Враг (порнограф) вычисляет браузер.. находит в открытых источниках уязвимость и адаптирует свой зловред.

После этого СЕНСАЦИЯ.. антивирусные вендоры начинают на перебой сообщать, что начинается конец света потому что даже на единственную дырку написали вирус.. но у них есть противоядие :)))

Добавлено спустя 3 минуты 14 секунд:

т.е. на уязвимостях все пытаются заработать :) ПУСТЬ они будут :))))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Возникает вопрос: считать ли adware проявлением эксплуатации уязвимости?

Нет, я думаю нельзя так считать. Часто adware ставиться при помощи эксплайта принудительно, а бывает и так, что юзер сам ставит adware на свой комп, принимая лицензионное сошлашение (которое никто не читает никогда). Во втором случае все легально.

Из-за этого частенько антивирусные вендоры судятся с компания типа Hotbar.com

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Сергей Ильин

А много или адваре есть под фарефокс :) ????

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А много или адваре есть под фарефокс ????

Я не встречал, но наверняка уже какие-то есть :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
romank
Кстати, тоже вопрос, какой процент дыр реально эксплотируются злоумышленниками?

Вопрос сложный, и напрямую связан с вопросом "насколько часто". Если дыра приватная (то есть о ней знает очень ограниченный круг людей) то она вполне может эксплуатироваться, но в основном для точечных атак. Массовые заражения через такие дырки не принято делать, так как она сразу теряет свою эксклюзивность.

Когда она становится известной, то разумеется, она начинает использоваться обширно, и для массовых заражений, как недавно наблюдалось с WMF.

Мое личное мнение - если дыра позволяет выполнять код на удаленной системе, и известна хоть одному злоумышленнику, то она использоваться будет. Вопрос только, насколько обширно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
а задумывались ли Вы о том' date=' откуда берутся дырки и эксплойты к ним?

до 60% дыр находят команды занимающиеся выпуском продуктов для защиты от этих и других дыр.

ISS, EEYE, XPIDER :), CHECKPOINT все имеют подразделения по поиску дыр в ПОПУЛЯРНЫХ и не очень продуктах.

И регулярно публикуют отчёты :) при чём потом выпускают защиту.

Если внимательно посмотреть на Антивирусных вендоров, защита от вирусов эксплуатирующих уязвимости, т.е. эксплуатирующие эксплойты, выходит раньше чем официальные заплаты, иногда значительно раньше.. О чём это говорит.. можно догадаться :))

В целом мой пост о том, что ВЫ рассматриваете безопасность голого браузера, в природе такого не бывает. И в реальной ситуации её обеспечивает не только вендор браузера.. ПОЭТОМУ ИНОГДА НЕ СПЕШИТ.

Сергей Ильин писал(а):

Кстати, тоже вопрос, какой процент дыр реально эксплотируются злоумышленниками?

Таких данных, к сожалению, у меня нет. А есть ли они вообще? Сам по себе вопрос интересный. Может быть кто-нибудь из участников форума располагает подобными статистическими данными

это оценка безопасности ПОСТФАКТУМ. или за 2005 год :))))

Возникает вопрос: считать ли adware проявлением эксплуатации уязвимости?

В общем то наличие хотя бы одной уязвимости у супер редкого продукта это критично. Причина следущая. Человек обладающий супер силой пытается её везде приложить.. и шастает где не попадя.

Враг (порнограф) вычисляет браузер.. находит в открытых источниках уязвимость и адаптирует свой зловред.

После этого СЕНСАЦИЯ.. антивирусные вендоры начинают на перебой сообщать, что начинается конец света потому что даже на единственную дырку написали вирус.. но у них есть противоядие :)))

Добавлено спустя 3 минуты 14 секунд:

т.е. на уязвимостях все пытаются заработать :) ПУСТЬ они будут :))))

а задумывались ли Вы о том' date=' откуда берутся дырки и эксплойты к ним?

до 60% дыр находят команды занимающиеся выпуском продуктов для защиты от этих и других дыр.[/quote']

Откуда такие данные?

ISS' date=' EEYE, XPIDER :), CHECKPOINT все имеют подразделения по поиску дыр в ПОПУЛЯРНЫХ и не очень продуктах.

И регулярно публикуют отчёты :) при чём потом выпускают защиту.[/quote']

Даже если это и так, то как быть с остальными 40%? Это слишком много что-бы этим количеством можно было пренебречь.

Если внимательно посмотреть на Антивирусных вендоров' date=' защита от вирусов эксплуатирующих уязвимости, т.е. эксплуатирующие эксплойты, выходит раньше чем официальные заплаты, иногда значительно раньше.. О чём это говорит.. можно догадаться :))[/quote']

Поиск дыр осуществляется как в популярных, так и не очень продуктах (к примеру указанными Вами "командами" браузере А найдено 12 дыр в год из 24 обнаруженных, а в браузере В - 1 из 2, - процентное отношение остается прежним, но разработчикам популярных браузеров от этого не станет легче). Иными словами в популярных браузерах находят намного больше дыр чем в относительно редких, но я не думаю, что процентом отношении эти показатели сильно отличаются , а следовательно, то о чем Вы говорите мало влияет на безопасность браузера.

В целом мой пост о том' date=' что ВЫ рассматриваете безопасность голого браузера, в природе такого не бывает. И в реальной ситуации её обеспечивает не только вендор браузера.. ПОЭТОМУ ИНОГДА НЕ СПЕШИТ.[/quote']

"Голого"браузера в природе не существует, как и не существует "идеального" газа. Но это не мешает физикам изучать свойства газообразных тел на основе не существующей в природе модели. Любая модель - это идеальное состояние предмета или явления, которого в реальности нет. Моделирование невозможно без абстракции (мысленного отвлечения от отдельных признаков, особенностей, свойств изучаемого предмета или явления). Мысленный анализ (разделение целого на части) и последующая абстракция позволяет тщательно изучить ту или иную сторону предмета или являения и степень ее влияния на окружающий мир, с целью ее последующей увязки с другими сторонами, так же изученными путем абстракции (логический синтез).

В общем то наличие хотя бы одной уязвимости у супер редкого продукта это критично. Причина следущая. Человек обладающий супер силой пытается её везде приложить.. и шастает где не попадя.

Враг (порнограф) вычисляет браузер.. находит в открытых источниках уязвимость и адаптирует свой зловред.

В этом случае уязвимость будет обнаружена и выпущен необходимый патч. И авторы редких браузеров справятся с этим быстрее' date=' чем авторы популярных, т.к. первым нужно выпустить 1 патч. а вторым 10 (условно).

[/quote']

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Бегло проведём анализ одного из ресурсов семантика..

получаем за этот год по IE

IE

1 Microsoft Internet Explorer Position CSS Denial of Service Vulnerability

2 Microsoft Internet Explorer Unspecified OBJECT Tag Memory Corruption Variant Vulnerability

3 Microsoft Internet Explorer MHTML URI Handler Information Disclosure Vulnerability

4 Microsoft Internet Explorer Modal Dialog Manipulation Vulnerability

5 Microsoft Internet Explorer Nested OBJECT Tag Memory Corruption Vulnerability

6 Microsoft Internet Explorer CreateTextRange Remote Code Execution Vulnerability

7 Microsoft Internet Explorer Popup Cross-Domain Information Disclosure Vulnerability

8 Microsoft Internet Explorer COM Object Instantiation Code Execution Vulnerability

9 Microsoft Internet Explorer Unspecified Remote HTA Execution Vulnerability

10 Microsoft Internet Explorer HTML Tag Memory Corruption Vulnerability

11 Microsoft Internet Explorer Double Byte Character Memory Corruption Vulnerability

12 Microsoft Internet Explorer Persistent Window Content Address Bar Spoofing Vulnerability

13 Microsoft Internet Explorer Erroneous IOleClientSite Data Zone Bypass Vulnerability

14 Microsoft Internet Explorer Script Action Handler Buffer Overflow Vulnerability

15 Microsoft Internet Explorer Invalid HTML Parsing Code Execution Vulnerability

16 Microsoft Internet Explorer Address Bar Spoofing Vulnerability

17 Microsoft Internet Explorer WMF Image Parsing Memory Corruption Vulnerability

18 Microsoft Windows DHTML Edit Control Script Injection Vulnerability

19 Microsoft Internet Explorer Java Applet Handling Denial of Service Vulnerability

20 Microsoft Internet Explorer IsComponentInstalled Buffer Overflow Vulnerability

21 Microsoft Internet Explorer Script Engine Buffer Overflow Vulnerability

22 Microsoft Internet Explorer Drag And Drop File Installation Vulnerability Variant

23 Microsoft Windows Media Player Automatic File Download and Execution Vulnerability

24 Microsoft Internet Explorer Dialog Manipulation Vulnerability

25 Microsoft Internet Explorer ActiveX Control Kill Bit Bypass Vulnerability

26 Microsoft Internet Explorer URLMon.DLL Denial Of Service Vulnerability

27 Microsoft Internet Explorer Flash ActionScript JScript Handling Denial of Service Vulnerability

28 Microsoft Internet Explorer Malformed IMG and XML Parsing Denial of Service Vulnerability

по FireFOX

FIREFOX

1 Mozilla Firefox iframe.contentWindow.focus Deleted Object Reference Vulnerability

2 Multiple Mozilla Products Memory Corruption/Code Injection/Access Restriction Bypass Vulnerabilities

3 Mozilla Suite, Firefox, SeaMonkey, and Thunderbird Multiple Remote Vulnerabilities

4 Mozilla Suite, Firefox and Thunderbird Debug Mode Insecure Temporary File Creation Vulnerability

5 Mozilla Firefox Large History File Buffer Overflow Vulnerability

6 Mozilla Browser/Firefox Chrome Window Spoofing Vulnerability

7 Mozilla Browser/Firefox Chrome Page Loading Restriction Bypass Privilege Escalation Weakness

8 Mozilla Suite, Firefox And Thunderbird Multiple Vulnerabilities

9 Mozilla Suite And Firefox DOM Property Overrides Code Execution Vulnerability

10 Mozilla Suite And Firefox Document Object Model Nodes Code Execution Vulnerability

11 Mozilla Suite And Firefox XPInstall JavaScript Object Instance Validation Vulnerability

12 Mozilla Suite/Firefox JavaScript Lambda Replace Heap Memory Disclosure Vulnerability

13 Mozilla GIF Image Processing Library Remote Heap Overflow Vulnerability

14 Mozilla Suite Multiple Remote Vulnerabilities

15 Mozilla Firefox Drag And Drop Security Policy Bypass Vulnerability

16 Multiple Mozilla/Firefox/Thunderbird Vulnerabilities

17 Mozilla Temporary File Insecure Permissions Information Disclosure Vulnerability

18 Mozilla Firefox HTML Parsing Null Pointer Dereference Denial of Service Vulnerability

19 Mozilla/Netscape/Firefox Browsers Domain Name Remote Buffer Overflow Vulnerability

20 Mozilla Browser/Firefox XBM Image Processing Heap Overflow Vulnerability

21 Mozilla Browser/Firefox JavaScript Engine Integer Overflow Vulnerability

22 Mozilla Browser/Firefox Arbitrary HTTP Request Injection Vulnerability

23 Mozilla Browser/Firefox Zero-Width Non-Joiner Stack Corruption Vulnerability

24 Mozilla Browser/Firefox DOM Objects Spoofing Vulnerability

25 Mozilla Browser/Firefox Arbitrary Command Execution Vulnerability

26 Mozilla Firefox HTML Parsing Denial of Service Vulnerability

27 Mozilla Firefox XBL -MOZ-BINDING Property Cross-Domain Scripting Vulnerability

28 Multiple Web Browser International Domain Name Handling Site Property Spoofing Vulnerabilities

29 Multiple Browser Proxy Auto-Config Script Handling Remote Denial of Service Vulnerability

конечно мы найдём 1000 объяснений этому факту.. но так же сделаем главный вывод ОНИ ОДИНАКОВО ПОПУЛЯРНЫ.

Добавлено спустя 9 минут 30 секунд:

Откуда такие данные?

Как вы считаете, что легче ломать или строить? В зависимости от этой точки зрения вы получите ответ в какой области специалистов больше именно СПЕЦИАЛИСТОВ.

Даже если это и так, то как быть с остальными 40%? Это слишком много что-бы этим количеством можно было пренебречь.

да ни как с ними не быть, если кому надо сломать ВАШУ тачку он ей сломает.

broker писал(а):

В целом мой пост о том, что ВЫ рассматриваете безопасность голого браузера, в природе такого не бывает. И в реальной ситуации её обеспечивает не только вендор браузера.. ПОЭТОМУ ИНОГДА НЕ СПЕШИТ.

я ошибся - СУЩЕСТВУЕТ

В этом случае уязвимость будет обнаружена и выпущен необходимый патч. И авторы редких браузеров справятся с этим быстрее, чем авторы популярных, т.к. первым нужно выпустить 1 патч. а вторым 10 (условно).

авторы редких браузеров абсолютно не предсказуемы, им может быть всё равно, что будет говорить о их ПО сообщество - потому что они не собираются продавать свой браузер и делать его популярным.

Они сами могут встраивать в свои браузеры келогеры и перехватчики номеров кредиток.

Лично я рекомендую ВАМ пользоваться броузером известного ВЕНДОРА, как и питаться продукцией хорошего БРЕНДА. :))))) Его по крайней мере хоть кто-то контролирует, хотя бы конкуренты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Бегло проведём анализ одного из ресурсов семантика..

получаем за этот год по IE

IE

1 Microsoft Internet Explorer Position CSS Denial of Service Vulnerability

2 Microsoft Internet Explorer Unspecified OBJECT Tag Memory Corruption Variant Vulnerability

3 Microsoft Internet Explorer MHTML URI Handler Information Disclosure Vulnerability

4 Microsoft Internet Explorer Modal Dialog Manipulation Vulnerability

5 Microsoft Internet Explorer Nested OBJECT Tag Memory Corruption Vulnerability

6 Microsoft Internet Explorer CreateTextRange Remote Code Execution Vulnerability

7 Microsoft Internet Explorer Popup Cross-Domain Information Disclosure Vulnerability

8 Microsoft Internet Explorer COM Object Instantiation Code Execution Vulnerability

9 Microsoft Internet Explorer Unspecified Remote HTA Execution Vulnerability

10 Microsoft Internet Explorer HTML Tag Memory Corruption Vulnerability

11 Microsoft Internet Explorer Double Byte Character Memory Corruption Vulnerability

12 Microsoft Internet Explorer Persistent Window Content Address Bar Spoofing Vulnerability

13 Microsoft Internet Explorer Erroneous IOleClientSite Data Zone Bypass Vulnerability

14 Microsoft Internet Explorer Script Action Handler Buffer Overflow Vulnerability

15 Microsoft Internet Explorer Invalid HTML Parsing Code Execution Vulnerability

16 Microsoft Internet Explorer Address Bar Spoofing Vulnerability

17 Microsoft Internet Explorer WMF Image Parsing Memory Corruption Vulnerability

18 Microsoft Windows DHTML Edit Control Script Injection Vulnerability

19 Microsoft Internet Explorer Java Applet Handling Denial of Service Vulnerability

20 Microsoft Internet Explorer IsComponentInstalled Buffer Overflow Vulnerability

21 Microsoft Internet Explorer Script Engine Buffer Overflow Vulnerability

22 Microsoft Internet Explorer Drag And Drop File Installation Vulnerability Variant

23 Microsoft Windows Media Player Automatic File Download and Execution Vulnerability

24 Microsoft Internet Explorer Dialog Manipulation Vulnerability

25 Microsoft Internet Explorer ActiveX Control Kill Bit Bypass Vulnerability

26 Microsoft Internet Explorer URLMon.DLL Denial Of Service Vulnerability

27 Microsoft Internet Explorer Flash ActionScript JScript Handling Denial of Service Vulnerability

28 Microsoft Internet Explorer Malformed IMG and XML Parsing Denial of Service Vulnerability

по FireFOX

FIREFOX

1 Mozilla Firefox iframe.contentWindow.focus Deleted Object Reference Vulnerability

2 Multiple Mozilla Products Memory Corruption/Code Injection/Access Restriction Bypass Vulnerabilities

3 Mozilla Suite, Firefox, SeaMonkey, and Thunderbird Multiple Remote Vulnerabilities

4 Mozilla Suite, Firefox and Thunderbird Debug Mode Insecure Temporary File Creation Vulnerability

5 Mozilla Firefox Large History File Buffer Overflow Vulnerability

6 Mozilla Browser/Firefox Chrome Window Spoofing Vulnerability

7 Mozilla Browser/Firefox Chrome Page Loading Restriction Bypass Privilege Escalation Weakness

8 Mozilla Suite, Firefox And Thunderbird Multiple Vulnerabilities

9 Mozilla Suite And Firefox DOM Property Overrides Code Execution Vulnerability

10 Mozilla Suite And Firefox Document Object Model Nodes Code Execution Vulnerability

11 Mozilla Suite And Firefox XPInstall JavaScript Object Instance Validation Vulnerability

12 Mozilla Suite/Firefox JavaScript Lambda Replace Heap Memory Disclosure Vulnerability

13 Mozilla GIF Image Processing Library Remote Heap Overflow Vulnerability

14 Mozilla Suite Multiple Remote Vulnerabilities

15 Mozilla Firefox Drag And Drop Security Policy Bypass Vulnerability

16 Multiple Mozilla/Firefox/Thunderbird Vulnerabilities

17 Mozilla Temporary File Insecure Permissions Information Disclosure Vulnerability

18 Mozilla Firefox HTML Parsing Null Pointer Dereference Denial of Service Vulnerability

19 Mozilla/Netscape/Firefox Browsers Domain Name Remote Buffer Overflow Vulnerability

20 Mozilla Browser/Firefox XBM Image Processing Heap Overflow Vulnerability

21 Mozilla Browser/Firefox JavaScript Engine Integer Overflow Vulnerability

22 Mozilla Browser/Firefox Arbitrary HTTP Request Injection Vulnerability

23 Mozilla Browser/Firefox Zero-Width Non-Joiner Stack Corruption Vulnerability

24 Mozilla Browser/Firefox DOM Objects Spoofing Vulnerability

25 Mozilla Browser/Firefox Arbitrary Command Execution Vulnerability

26 Mozilla Firefox HTML Parsing Denial of Service Vulnerability

27 Mozilla Firefox XBL -MOZ-BINDING Property Cross-Domain Scripting Vulnerability

28 Multiple Web Browser International Domain Name Handling Site Property Spoofing Vulnerabilities

29 Multiple Browser Proxy Auto-Config Script Handling Remote Denial of Service Vulnerability

Ссылку можно?

конечно мы найдём 1000 объяснений этому факту.. но так же сделаем главный вывод ОНИ ОДИНАКОВО ПОПУЛЯРНЫ.

Вряд ли мы сделаем подобный вывод. Повторю еще раз: на безопасность браузера и количество найденных в нем уязвимостей влияет не только его популярность. Та схема, которую я привел выше доказывает лишь то, что популярность браузера нельзя не учитывать.

Разве я не прав?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

да пжалуста

www.securityfocus.com aka Bugtraq

Добавлено спустя 3 минуты 4 секунды:

Вряд ли мы сделаем подобный вывод. Повторю еще раз: на безопасность браузера и количество найденных в нем уязвимостей влияет не только его популярность. Та схема, которую я привел выше доказывает лишь то, что популярность браузера нельзя не учитывать.

Разве я не прав?

конечно такого вывода делать нельзя..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
авторы редких браузеров абсолютно не предсказуемы' date=' им может быть всё равно, что будет говорить о их ПО сообщество - потому что они не собираются продавать свой браузер и делать его популярным.

Они сами могут встраивать в свои браузеры келогеры и перехватчики номеров кредиток.[/quote']

Пользуюсь Opera - с таким не сталкивался.

Лично я рекомендую ВАМ пользоваться броузером известного ВЕНДОРА' date=' как и питаться продукцией хорошего БРЕНДА. :)))))[/quote']
Спасибо за рекомендацию. Но я пока воздержусь от этого. :))
Его по крайней мере хоть кто-то контролирует' date=' хотя бы конкуренты.[/quote']

а также хакеры :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
а также хакеры

и инопланетяне. :P:P:P

Добавлено спустя 2 минуты 21 секунду:

Opera

Это не редкий браузер.

Редкий браузер - это браузер васи ПУПКИНА :) из чукотки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×