Mozilla acaba de parchear Firefox por una vulnerabilidad grave y Seguridad Nacional de EEUU pide actualizar

Mozilla ha lanzado en las últimas horas una actualización para parchear una vulnerabilidad crítica encontrada en Firefox. Resulta absolutamente recomendable actualizar cuanto antes mejor nuestras instalaciones de este navegador. "Ataques selectivos" se están produciendo aprovechando este exploit de día cero. Los potenciales peligros de este problema de seguridad de Firefox han llevado también al Departamento de Seguridad Nacional de los Estados Unidos a instar a los usuarios del navegador de Mozilla a actualizar la última versión.

[#1 ur_quan_master]

Traducción: la NSA ha obligado a instalar malvare en Firefox.

[#2 x.y.z]

#1 ¿Ya has encontrado en qué parte del código fuente que es público está el malware?

[#3 manson2000]

#2 Uy que cosas pides...Veras que rápido prueba su afirmación.

[#16 ur_quan_master]

#2 todo hijo de vecino tira de binarios así que me voy a poner el gorrito.

[#32 anv]

#16 Una cosa es que todos instalen binarios pero el código fuente esté disponible para que algunos lo miren, y otra muy distinta es que sólo haya binarios y el fuente sea secreto.

[#35 ur_quan_master]

#32 ¿ Tu conoces a alguno de esos "algunos"? ¿ Sabes si lo que te estás bajando corresponde exactamente a la compilación de esos fuentes?

Soy usuario de Mozilla desde que desapareció Netscape, Pero ignorar que en cualquier momento te la pueden liar no te ayuda precisamente.

[#36 anv]

#35 Pues... si usas Linux puedes estar bastante seguro de que el firefox que usas correspondiente con el código fuente del repositorio.
A no ser, claro, que creas que los mantenedores de los paquetes están confabulados para engañarte.

Sobre auditar código... Algunas veces he echado alguna mirada por curiosidad aunque no se puede decir que eso sea auditar. Pero ya sabes lo que dice la Ley de Linus.

[#22 hasta_los_cojones]

#2 si lo hubiere estaría en el DRM, cuyo código no es público

[#5 Desactivado]

#1 "Los responsables de Mozilla han dado cuenta de los preocupantes problemas encontrados por la firma de ciberseguridad china Qihoo 360"

[#12 Cehona]

#5 "encontrados por la firma de ciberseguridad china Qihoo 360"

La misma firma que instala adware en móviles Samsung
https://www.neowin.net/news/samsung-devices-come-with-a-feature-sourced-from-shady-chinese-company

[#25 Desactivado]

#12 "Se sabe que Qihoo 360 entrega los datos de los clientes al gobierno chino cuando se lo solicitan"

Esa y todas. Y las americanas también (pero a su gobierno claro...).

[#28 Desactivado]

#12 Todas lo hacen si no es al Chino es al Yanqui al de Uk o Alemania y si no a otro cualquiera.

[#37 joffer]

#1 que tontería más tonta y comentario tragakarma

[#7 Fackelmann]

Me llamo la atención lo del departamento de seguridad, así que entre en su pagina. Parece bastante normal que hagan este tipo de recomendaciones. Por ejemplo, aquí hay una del mismo día en la que recomiendan a todos los usuarios de Chrome actualizar su navegador:

https://www.us-cert.gov/ncas/current-activity/2020/01/08/google-releases-security-updates-chrome

[#19 Walldrop]

#7 firefox lleva una temporada de buenas noticias suena a goebbelismo por parte de la competencia armar la noticia de esta forma (pero es que tb tengo un poco de sesgo conspira pide)

[#8 opechancano]

Lo de cada día pero esta vez a alguien le habrá parecido alarma y se está viralizando...

[#9 Marx]

#8 no, no salen todos los dias vulnerabilidades graves como esta y que estan siendo explotadas.

[#17 opechancano]

#9 es que estoy suscrito y lo veo...

[#42 Marx]

#17 ¿cuántas vulnerabilidades críticas que estuviesen siendo explotadas tuvo firefox en el último año? debo estar mirando yo mal.

[#43 opechancano]

#42
Centro de avisos de Mozilla: https://www.mozilla.org/en-US/security/advisories/ >>> puedes ver cuantas veces sale el color critical.

Búsqueda sobre las notificaciones de La Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA): https://search.us-cert.gov/search?utf8=%E2%9C%93&affiliate=us-cert&query=mozilla+security >>>> puedes leer que cada aviso con independencia del asunto es idéntico cuando se trata de un "Mozilla has released security updates to address vulnerabilities in Firefox and Firefox ESR. An attacker could exploit some of these vulnerabilities to take control of an affected system." o similar, de hecho si te suscribes por email los asuntos son idénticos "Mozilla Releases Security Updates for Firefox..."

Si es porque se considere "0-day" solo hay que buscar por fecha en Google, ej. en junio 2 en una semana https://unaaldia.hispasec.com/2019/06/mozilla-parchea-un-segundo-0-day-en-una-semana.html

Yo no digo que no sea suficiente relevante para ponerla en Meneame, digo que si debemos seguir el mismo criterio podemos poner alguna casi cada mes un par de veces, y no solo para Mozilla, también para Microsoft, WordPress, Google, Apple, Intel, Adobe, Samba VMWare, Cisco, Juniper, etc. Vamos... Convertir Meneame en un feed de notificaciones de seguridad de software.

La única diferencia esta vez es que alguien la ha considerado grave por esa referencia al centro Nacional de Seguridad de los grandes EEUU... pero vamos que el Departamento de Seguridad Nacional de los Estados Unidos insta todos los días a actualizar algo... y esa referencia no es más que de su feed, no es que haya comparecido Trump con el general de la Sexta Flota.

[#44 Marx]

#43 Parece que hemos mirado en el mismo sitio pero con distinta conclusión. ¿cuántas veces sale el color critical? Unas veinte veces desde 2019 hasta hoy pero cuántas veces sale el color crítical con el aviso de que está siendo explotado? Yo he contado dos, una que es este meneo y otra creo que en Junio o julio. Dos veces en más de un año yo no lo llamaría salir todos los días.

La que tú me comentas creo que es esta: https://www.mozilla.org/en-US/security/advisories/mfsa2019-19/
No es crítica sino "solo" alta y no tiene el aviso de Mozilla de "We are aware of targeted attacks in the wild abusing this flaw." como tiene la de este meneo.

Por tanto, yo considero que la vulnerabilidad de este meneo es un poco más grave de lo normal. Quizás la noticia esté exagerada pero no tanto como decir que esto es el pan de cada día.

Hay vulnerabilidades en otros productos pero los navegadores son especialmente sensibles dado que están completamente expuestos a Internet. Tú navegas por todo tipo de páginas y una de ellas podría explotar una vulnerabilidad del navegador. Habría que saber cuántos 0-day críticos salen para Chrome, dado que tiene más cuota.

[#21 thoro]

Que se lo digan a la Fábrica Nacional de Moneda y Timbre de España.
Una entidad que se dedica a expedir certificados digitales que no ha conseguido que los navegadores la acepten como fiable. Y es el único medio para que las empresas reciban notificaciones de seguridad social, hacienda, etc...
Y hay que toquetear todos los ajustes de seguridad para que pueda funcionar a su gusto.
https://www.sede.fnmt.gob.es/certificados/persona-fisica/obtener-certificado-software/consideraciones-previas

Y además ya no soporta firefox 69 o superiores y te da instrucciones de cómo instalar una versión insegura y antigua.

[#23 pilarina]

#21 Es penoso

[#24 avalancha971]

#21 Venía precisamente a comentar eso, que mientras tanto los certificados digitales españoles sólo funcionan con Firefox 68.

Muy seguro todo.

[#30 Molari]

#24 Yo uso mis certificados de la FMNT con normalidad y tengo la versión 72.0.1

[#31 TyrionGal]

#30 #21 #24 ?? Con mucha normalidad no los usarás cuando es la propia administración la que dice que solo se pueden utilizar con una versión antigua. Lo tuyo es una excepción, pero lo normal es que no funcione.

Lo de los certificados en España es una vergüenza. Y lo que me sorprende más es que no haya más artículos periodísticos denunciando esto.

[#34 Molari]

#31 Yo lo uso con normalidad. Pero vaya que estoy deacuerdo en que esa recomendación de la administración está fuera de lugar, mas bien deberían los informáticos de la FNMT ponerse las pilas para que funcione el certificado en todas las versiones de FireFox

[#40 thoro]

#30 Puedes usarlos, si. Pero no puedes descargar un certificado nuevo.
Caducan a los 4 años.
Además que los propios navegadores marcan webs del ministerio como inseguras.

[#41 Desactivado]

#30 Porque ya estaban instalados, si los intentas instalar nuevos, nones

[#15 crafton]

Nos acercamos cada vez más a un futuro cyberpunk. Imaginaros titulares como:

- Seguridad Nacional de EEUU pide actualizar el firmware de los Teslas.

O cualquier otro cacharro que hayamos normalizado en nuestras vidas y sea esencial: smartphones, facebook portal, amazon echo.. usad vuestra imaginación.

[#20 Pepitoooo]

#15

[#26 Desactivado]

#15 "usad vuestra imaginación. "

"Seguridad Nacional de EEUU pide actualizar el firmware de tu marcapasos."

[#27 AsVHEn]

#15 Más normalizado que el PC con Firefox abierto no tengo nada en mi vida .

[#4 Tintxotintxo]

Pues yo intento actualizar y me dice que ya está actualizado. Versión 72.0.1 OSX

[#6 Desactivado]

#4 el OSX es relevante?

[#13 Xtampa2]

#4 Porque esa es la última ya parcheada.

#11 A ver si ya lo tienes actualizado.

#6 Podría ser que la numeración de versiones fuera diferente según la plataforma

[#38 Desactivado]

#33 en android me sale la 68.4.1 actualizada ayer desde la play store.
no se da mucho detalle en la versión, asi que imagino que debe ser la versión ESR o hay varias versiones según la plataforma como dice #13

[#33 Tintxotintxo]

#6 supongo que no

[#14 Cehona]

#4 #11 La que hay que tener instalada es la versión 72.0.1 (última)
Podeis comprobarlo en el canal release
https://download.cdn.mozilla.net/pub/firefox/releases/
https://www.mozilla.org/es-ES/plugincheck/

[#18 thingoldedoriath]

#14 el mío se actualizó esta tarde. Alguna ventaja tienen las "Arch"

[#29 Desactivado]

#4 Yo también tengo la misma 72.0.1 de 64 bits en Windows y esta actualizado según me pone.

[#10 Desactivado]

Cierran una puerta que seguro se ha filtrado a gente que no le interasaba a la NSA y ya tendrán otra, no se le pueden poner puertas al campo ni a la NSA

[#11 mosisom]

No se me actualiza y me estoy poniendo nervioso.

[#39 Desactivado]

Espero que saquen parche para la versión compatible con plugins, la 56