CNET News.com[en] informa de que algunos detalles de una falta por desbordamiento en el buffer en Mozilla Firefox se hicieron públicos[en]. La vulnerabilidad de seguridad se debe a un error en la manera en que los vínculos largos con guiones se tratan y como que permite a un agresor ejecutar un código arbitrario sobre el sistema de víctima.

El problema fue descubierto por el investigador en cuanto a seguridad Tom Ferris y lo publicó ayer en el sitio Web de Security Protocols[en]. La alerta de Security Protocols designa la falta bajo el título Mozilla Firefox "Host:" Buffer Overflow[en] y afirma que está presente en Firefox 1.0.6 y Firefox 1.5 beta 1. El anuncio presenta un ejemplo extremadamente simple de código malicioso, el cual bloqueará a Firefox si se inserta en una página Internet.

El French Security Incidente Response Team (FrSIRT)[en] publicó dos alertas relativas a la vulnerabilidad de seguridad. El boletín Mozilla Browsers "Host:" Parameter Remote Buffer Overflow[en] previene que la falla afecte a a la vez Mozilla Firefox y la última versión de Mozilla Applications Suite, mientras que el boletín Netscape "Host:" Parameter Remote Buffer Overflow Vulnerability[en] declara que se afecta también Netscape Browser 8.0.

Según el artículo de News.com, Ferris informó de la falta a la fundación Mozilla el domingo, de acuerdo con la política de los errores de seguridad de Mozilla[en]. Sin embargo, decidió volver la vulnerabilidad pública "después de un conflicto con el equipo dirigente de Mozilla".

Gracias a Roseman por el vínculo hacia el artículo de News.com, a Juha- Matti Laurio y a Padraig O' hIceadha por el vínculo hacia la documentación de Security Protocols y a Juha- Matti Laurio también por los vínculos hacia los boletines de FrSIRT.

Actualización: La Fundación Mozilla publicó un documento titulado Lo que los usuarios de Mozilla deben saber sobre el problema de seguridad de desbordamiento en el buffer con los Nombre de Dominio Internacionales (IDN)[en], que explica cómo los usuarios pueden protegerse de este fallo desactivando el soporte de IDN (el desbordamiento en el buffer está en el código que normaliza los dominos IDN). Se publicará un parche que desactiva el soporte de dominios IDN próximamente como una alternativa para los usuarios que no deseen modificar manualmente la configuración por defecto de su navegador. Este parche pondrá al día el número de versión de Firefox de 1.0.6 a 1.0.6.1 y de Seamonkey de 1.7.11 a 1.7.11.1.

Ahora el informe de error de Ferris sobre el problema, el bug 307259[en], se hizo público. Se registró el error martes por la tarde (hora de verano del Pacífico) y no domingo como lo pretendió Ferris al principio. Según los comentarios en el informe, se está trabajando en un parche definitivo que arregle el problema (uno que no implique la desactivación del soporte de dominios IDN) en las versiones futuras.

Nota: Hay que tener en cuenta que la vulnerabilidad de seguridad se explota utilizando los vínculos largos con características de unión, no de los guiones (aunque las características de unión y los guiones son similares en la pantalla, no son el mismo carácter).

Actualización: El parche descargable para desactivar el soporte IDN ya está disponible[en]. No pone al día el número de versión tal como se preveía en un principio, sino que simplemente añade (noIDN) al identificador del navegador (cadena user-agent).