Menéame: comentarios [16785]

#45 Si usas Firefox NO hagas el test

isilanes — Sat, 13 May 2006 12:53:16 +0000

Ojo, ahora empezamos a entendernos. El bug no tiene nada que ver con Java, ni con abrir 100 o 1000 ventanas. El bug consiste en interpretar incorrectamente un tag <img>. El script Java sólo es un medio que ha usado el vago del programador para no escribir a mano 100 veces el tag <img> (podría haber escrito la fuente con otro script). Si los 100 <img> estuvieran explícitamente en la página, y esta no contuviera Java, el NoScript no lo pararía.

De hecho, un fichero HTML que contenga, simplemente:

<body><img src="mailto:test@securityview.org"></body>

te abrirá un cliente de correo al cargarla con Firefox (si tienes un cliente configurado). Si aparecen 1000 líneas así, se te abrirán 1000 clientes. Y esto a pesar de NoScript.

A mí me parece, lo acepto, un bug, si las especificaciones de estándares HTML dicen que los tags <img> no pueden abrir mailto-s.

» autor: isilanes

#44 Si usas Firefox NO hagas el test

--1994-- — Sat, 13 May 2006 11:45:48 +0000

#41 No llevas nada de razón, el noscript es un complemento que no viene por defecto en Firefox, hay que instalarlo aparte, hecho que no todo el mundo realiza. El código que causa el fallo no se ejecuta a petición del usuario, en ese ejemplo si te avisa antes, pero que pasa si aparece en otra página sin avisar. Si te cuelga el PC y tienes que reiniciar forzosamente seguro que no te hace tanta gracia.
El hecho de que solo pase en ciertas configuraciones no depende de Firefox sino del cliente de correo electrónico que tengamos por defecto.
Lo que si depende del fiefox es tratar una etiqueta mal formada, cuando debería ignorarlo. Eso si es un bug.
Un imagen cuyo src es mailto:test@securityview.org?subject=test email&body=DoS! es imposible que sea correcta, ¿el origen de una imágen, una dirección de correo?.

Para mi es un bug como un castillo, no depende de las consecuencias que pueda originar.

» autor: --1994--

#43 Si usas Firefox NO hagas el test

isilanes — Sat, 13 May 2006 11:32:54 +0000

mahamara (#42): desconozco ese bug, y desde luego no lo reporté yo. Si el bug consiste en que al visitar una página con una imágen gigante... abre una imágen gigante... pues efectivamente, no es un bug.

» autor: isilanes

#42 Si usas Firefox NO hagas el test

--2030-- — Sat, 13 May 2006 10:54:07 +0000

[Usuario deshabilitado]

» autor: --2030--

#41 Si usas Firefox NO hagas el test

isilanes — Sat, 13 May 2006 10:51:38 +0000

mahamara (#37): "Que abra cantidad de ventanas (en el mejor de los casos), sin que el usuario haya pedido, ¿no es un bug? ¿No es un bug sólo porque es FF?"

No entiendo bien el problema, pero según lo que yo entiendo el usuario SÍ lo ha pedido. El usuario ha accedido a una página en la que un script de Java solicita abrir 100 veces el cliente de correo. Si el usuario utiliza NoScript o similares, entonces el JavaScript se bloquea. Por el contrario, si el usuario tiene el sistema configurado para aceptar ciegamente lo que un script cualquiera diga en una página desconocida... se entiende que tácitamente acepta que se le abran 100 ventanas, y por lo tanto no ocurre contra su voluntad.

Sólo puede considerarse lesivo para el usuario si este no tiene medios para evitarlo. Y en este caso sí los tiene.

¿Debe considerarse un bug que mi navegador muestre una página fea, con el fondo amarillo chillón y las letras verde clarito y pequeñísimas? Si la página original es así, este atentado ocular no es culpa del navegador, ¿no?. Para eso están las opciones de "Tamáño mínimo de letra" y de ignorar ciertos estilos de las páginas (que el fondo sea siempre blanco, o que los gráficos no se carguen, etc).

» autor: isilanes

#40 Si usas Firefox NO hagas el test

Liveral — Fri, 12 May 2006 23:22:29 +0000

Tengo un pentium II400 MHz con 256 MB de RAM. Al abrir la página , el sistema ha quedado bastante inusable. Tras mucho rascar el disco duro, las X han muerto y se han reiniciado, como el ave Fénix.

» autor: Liveral

#39 Si usas Firefox NO hagas el test

--2030-- — Fri, 12 May 2006 20:49:44 +0000

[Usuario deshabilitado]

» autor: --2030--

#38 Si usas Firefox NO hagas el test

--1-- — Fri, 12 May 2006 20:47:28 +0000

¿Qué pasó maha?

» autor: --1--

#37 Si usas Firefox NO hagas el test

--2030-- — Fri, 12 May 2006 20:44:13 +0000

[Usuario deshabilitado]

» autor: --2030--

#36 Si usas Firefox NO hagas el test

Liveral — Fri, 12 May 2006 20:36:09 +0000

Hablando de todo un poco, para prevenir casos de estos, ¿cómo prevenir el uso al 100% de la CPU por parte de un usuario? Me suena que con ulimit, pero no sé cómo va o si se puede.

» autor: Liveral

#35 Si usas Firefox NO hagas el test

--1804-- — Fri, 12 May 2006 12:19:42 +0000

[Usuario deshabilitado]

» autor: --1804--

#34 Si usas Firefox NO hagas el test

ringsakira — Fri, 12 May 2006 07:56:41 +0000

Sí, es errónea. Esto pasaba con la 1.5.0.2 pero no con la 3.
mahamara yo pondría erronea en el título porque creo que ya es evidente.

» autor: ringsakira

#33 Si usas Firefox NO hagas el test

xxThe_ChoseNxx — Fri, 12 May 2006 07:22:44 +0000

A mi me han salido un huevo de ventanas para enviar un correo, pero no ha petado

Windows XP SP2

Cuando llegue a mi casa lo pruebo en BSD y Ubuntu.

» autor: xxThe_ChoseNxx

#32 Si usas Firefox NO hagas el test

kNo — Fri, 12 May 2006 06:16:44 +0000

Pues yo voy a votar erronea. XP+sp2 +FF1.5.0.3 y si, se abren la pera de mensajes del outlook, pero se cierran y listo. No se queda colgado el PC ni el FF, ni el Outlook.

» autor: kNo

#31 Si usas Firefox NO hagas el test

ronald_poi — Fri, 12 May 2006 05:49:35 +0000

Funciona eso en Mac?

» autor: ronald_poi

#30 Si usas Firefox NO hagas el test

ManuelE — Fri, 12 May 2006 04:33:07 +0000

Uso windows xp sp1, y la ultima version del firefox 1.5.0.3, al principio se me quedo medio colgado (30 segundos) al poco tiempo resolvio el correo abrio los 100 enlaces en el thunderbird, cerrer el grupo y siguio funcionando con normalidad. Es mas escribo desde el mismo firefox, quizás se cuelgue por falta de micro o ram.

» autor: ManuelE

#29 Si usas Firefox NO hagas el test

--2516-- — Fri, 12 May 2006 02:13:56 +0000

[Usuario deshabilitado]

» autor: --2516--

#28 Si usas Firefox NO hagas el test

--5066-- — Fri, 12 May 2006 00:42:58 +0000

[Usuario deshabilitado]

» autor: --5066--

#27 Si usas Firefox NO hagas el test

--5066-- — Fri, 12 May 2006 00:39:27 +0000

[Usuario deshabilitado]

» autor: --5066--

#26 Si usas Firefox NO hagas el test

halvarez — Fri, 12 May 2006 00:18:13 +0000

Windows XP SP2 y Firefox 1.5.0.3: no se me colgó
Me abre 100 Outlook Express (que ni tengo configurado, no lo uso) pero la máquina ni se mosquea. Y como todas se abren en la misma posición tardé unos... 10 segundos en cerrar las 100 ventanas

» autor: halvarez

#25 Si usas Firefox NO hagas el test

ignatius — Thu, 11 May 2006 23:34:49 +0000

Pues a mi con Firefox 1.5.0.2 y Ubuntu/Dapper ni se me cuelga ni me abre el evolution, ale

» autor: ignatius

#24 Si usas Firefox NO hagas el test

DZPM — Thu, 11 May 2006 23:21:58 +0000

Yo también la he meneado, pero me arrepiendo porque compruebo que es MENTIRA. Ni se cuelga ni nada.

Para empezar, NoScript ignora la porquería, pero aún dándole permiso manual no se llega a colgar. Mahamara, tu bug tiene un bug

» autor: DZPM

#23 Si usas Firefox NO hagas el test

--1994-- — Thu, 11 May 2006 20:15:09 +0000

Este es codigo que hace que supuestamente se cuelgue:

for(i=0; i<100; i++){
document.write('<Img src="mailto:test@securityview.org?subject=test email&body=DoS!">')
}

» autor: --1994--

#22 Si usas Firefox NO hagas el test

--1994-- — Thu, 11 May 2006 20:13:50 +0000

Uso Windows XP SP2 y sigo esperando que se me cuelgue, de hecho escribo desde Firefox, ¿es un bug retardado, o algo así?

» autor: --1994--

#21 Si usas Firefox NO hagas el test

llorencs — Thu, 11 May 2006 20:01:32 +0000

Lo he probado con firefox de OSX y me han empezado a salir las ventanas de mail, el Firefox no se ha colgado, pero si que "jode", así que meneo. He tenido que matar al mail.

» autor: llorencs

#20 Si usas Firefox NO hagas el test

benjami — Thu, 11 May 2006 19:57:57 +0000

Lo he pasado --al test-- y ningun problema:

Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.8.0.3) Gecko/20060326 Firefox/1.5.0.3 (Debian-1.5.dfsg+1.5.0.3-2)

» autor: benjami

#19 Si usas Firefox NO hagas el test

Lito — Thu, 11 May 2006 19:51:06 +0000

Firefox 1.5 en Ubuntu... peta, bueno no ya que mi mano es más rápida que el Evolution Mail y he conseguido cerrar las 100 ventanas sin que se colgara

Vale por un meneo.

» autor: Lito

#18 Si usas Firefox NO hagas el test

FrIkI — Thu, 11 May 2006 18:38:49 +0000

#16 y #17, ahora hablamos claro.
Bug del firefox es para todas las plataformas, cómo me temia (pero no me afectaba ). OK!

» autor: FrIkI

#17 Si usas Firefox NO hagas el test

Marianitu — Thu, 11 May 2006 18:23:08 +0000

Doy constancia. Me acaba de abrir el evolution bajo Ubuntu

» autor: Marianitu

#16 Si usas Firefox NO hagas el test

josemaria — Thu, 11 May 2006 18:15:10 +0000

En Linux el test también provoca el error: si tienes configurado un cliente de correo por defecto para los enlaces mailto: te abre 100 correos. Lo que pasa que la máquina no se queda colgada y basta con matar los procesos de firefox y de thunderbird (en mi caso) para retomar el control de la máquina

» autor: josemaria

#15 Si usas Firefox NO hagas el test

--2030-- — Thu, 11 May 2006 18:03:22 +0000

[Usuario deshabilitado]

» autor: --2030--

#14 Si usas Firefox NO hagas el test

isilanes — Thu, 11 May 2006 18:02:00 +0000

Me duele votar "errónea" a mahamara, pero es errónea. Si el bug es para Firefox bajo Windows, y puestos a ser tendenciosos, ¿por qué no decir "Si usas Windows NO hagas el test"?. Si se busca información neutral, se podría decir: "Encontrado bug que afecta a la versión Windows de Firefox 1.5", o algo así.

Yo lo he probado bajo Debian, y no ha hecho NADA. Por dos motivos: primero, tengo instalada la extensión NoScript (addons.mozilla.org/firefox/722/), la cual ha bloqueado el "ataque". Segundo, en el colmo de la audacia, jejeje, he permitido, a mano (y temporalmente), a Firefox que ejecute JavaScript proviniente del dominio securityview.org, y he recargado la página del test (securityview.org/test.html). Lo único que ha pasado ha sido que han salido un montón de cuadraditos de los de cuando hay un dibujo que no ha podido ser presentado.

La verdad, estoy un poco harto de informes incorrectos sobre agujeros de Firefox (entrada en mi blog: isilanes.blogspot.com/2006/04/more-firefox-vulnerabilities.html), que intentan poner al mismo nivel Firefox e IE, de forma que la gente piense "bueno, en el fondo ambos tienen errores". El 99% de los errores de Firefox son en realidad fallos de una plataforma (Windows) en la que corre. Para muestra otro botón, el primer post de mi blog: isilanes.blogspot.com/2006/03/firefox-2-microsoft-0.html. Un ejemplo de uso tendencioso de la información, para hacer pasar por "IE -1 / Firefox -1" una situación que es "Windows -2 / Software Libre 0".

» autor: isilanes

#13 Si usas Firefox NO hagas el test

Fajro — Thu, 11 May 2006 17:56:07 +0000

A mi solo me aparecieron 100 cuadraditos de imagenes que no cargan. No se trabo.

» autor: Fajro

#12 Si usas Firefox NO hagas el test

--2682-- — Thu, 11 May 2006 17:55:20 +0000

probado con winXP y Firefox... y hay que cambiar, como dicen en el enlace de seguridad de firefox, el valor de "network.protocol-handler.warn-external.mailto"... (ya se lo corregí a mi hija, me voy que me da no-se-que este ordenata....

» autor: --2682--

#11 Si usas Firefox NO hagas el test

--2030-- — Thu, 11 May 2006 17:53:26 +0000

[Usuario deshabilitado]

» autor: --2030--

#10 Si usas Firefox NO hagas el test

FrIkI — Thu, 11 May 2006 17:52:41 +0000

Bueno, ya voté, lo siento.
De todas formas lo pondria en la descripción de la noticia, para no asustar a TODA la gente.

» autor: FrIkI

#9 Si usas Firefox NO hagas el test

Marianitu — Thu, 11 May 2006 17:45:26 +0000

Efectivamente, mne han salido 100 formularios de correo y el navegador no respondía

meneo

» autor: Marianitu

#8 Si usas Firefox NO hagas el test

--2030-- — Thu, 11 May 2006 17:42:04 +0000

[Usuario deshabilitado]

» autor: --2030--

#7 Si usas Firefox NO hagas el test

FrIkI — Thu, 11 May 2006 17:41:22 +0000

Voto erronea, ya que a mi no me ha pasado, igual que a Gallir.

A alguien le ha petado?

» autor: FrIkI

#6 Si usas Firefox NO hagas el test

--2030-- — Thu, 11 May 2006 17:39:21 +0000

[Usuario deshabilitado]

» autor: --2030--

#5 Si usas Firefox NO hagas el test

marioquartz — Thu, 11 May 2006 17:34:58 +0000

Uso un firefox no actualizado y lo he abierto. Escribo desde el firefox que sigue funcionando. Unas imagenes que no se ven y la pantalla del outlook

» autor: marioquartz

#4 Si usas Firefox NO hagas el test

--1-- — Thu, 11 May 2006 17:33:38 +0000

Que va, si tuviese ese bug seguramente se soluciona con un <ctrl><alt><ESC>

» autor: --1--

#3 Si usas Firefox NO hagas el test

Marianitu — Thu, 11 May 2006 17:33:04 +0000

A ver con Windows 98....

(sí, uso eso :P)

» autor: Marianitu

#2 Si usas Firefox NO hagas el test

--2030-- — Thu, 11 May 2006 17:32:35 +0000

[Usuario deshabilitado]

» autor: --2030--

#1 Si usas Firefox NO hagas el test

--1-- — Thu, 11 May 2006 17:31:53 +0000

Será en güindous, porque en mi GNU/Linux no pasa nada

» autor: --1--