Компания Mozilla раскрыла (https://blog.mozilla.org/security/2018/10/09/trusting-the-de.../) результаты (https://drive.google.com/file/d/1v53GCYPxzoZmB1dCop1yJfZgS1w...) независимого аудита безопасности инфраструктуры, используемой для доставки обновлений к Firefox. В ходе аудита были проверены сервер отдачи обновлений (https://github.com/mozilla/balrog/), клиентские компоненты для применения обновлений и используемые проектом  методы доставки. Аудит включал как изучение кода на наличие возможных уязвимостей, так и анализ надёжности протокола и стойкости применяемых криптоалгоритмов.

Аудит был выполнен компанией  X41 D-SEC и не выявил критических проблем, но обнаружил серию ошибок, среди которых 3 проблемы имеют высокий уровень опасности. Все опасные ошибки найдены в коде серверного бэкенда Balrog (https://github.com/mozilla/balrog/) и связаны с недоработками управляющего административного web-интерфейса в области защиты от CSRF-атак (Cross-Site Request Forgery). Опасность данных проблем снижается тем, что к Balrog имеет доступ только ограниченное число сотрудников, а для входа применяется многофакторная аутентификация.

В ходе проверки также выявлено несколько ошибок в коде на языке Си, используемом для обработки файлов с обновлениями. Данные проблемы вызваны небезопасной работой с внешними данными и могут привести к отказу в обслуживании. Отмечается, что ошибки не могут привести к модификации обновлений, так как целостность файлов с обновлениями удостоверяется цифровой подписью. В общем виде отмечен высокий уровень защиты  сервиса обновлений.

URL: https://blog.mozilla.org/security/2018/10/09/trusting-the-de.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=49422

• Опубликованы результаты аудита системы обновления Firefox,анан, 11:45 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Qwerty, 14:08 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Аноним, 18:09 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,Аноним, 09:16 , 12-Окт-18
      • Опубликованы результаты аудита системы обновления Firefox,Анноним, 13:29 , 12-Окт-18
• Опубликованы результаты аудита системы обновления Firefox,Анонимм, 13:59 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,macfaq, 14:12 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,Анонимм, 19:13 , 10-Окт-18
      • Опубликованы результаты аудита системы обновления Firefox,qcgg, 23:41 , 10-Окт-18
        • Опубликованы результаты аудита системы обновления Firefox,Аноним, 09:19 , 12-Окт-18
• Опубликованы результаты аудита системы обновления Firefox,Аноним, 14:19 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Почти аноним, 16:16 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Fyj, 19:04 , 12-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,denmatv94, 20:56 , 12-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,macfaq, 14:37 , 15-Окт-18
• Опубликованы результаты аудита системы обновления Firefox,Аноним, 14:52 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,anonimous, 15:10 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,A.Stahl, 15:57 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,Аноним, 13:32 , 11-Окт-18
      • Опубликованы результаты аудита системы обновления Firefox,anonimous, 13:24 , 12-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Аноним, 16:17 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,Поцтерингэкзорцист, 16:24 , 10-Окт-18
      • Опубликованы результаты аудита системы обновления Firefox,axredneck, 17:09 , 10-Окт-18
        • Опубликованы результаты аудита системы обновления Firefox,Аноним, 19:09 , 10-Окт-18
    • Опубликованы результаты аудита системы обновления Firefox,Клыкастый, 10:19 , 12-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,нах, 16:20 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,axredneck, 17:05 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,имя, 05:01 , 11-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Mozilla Corporation, 10:12 , 11-Окт-18
• Опубликованы результаты аудита системы обновления Firefox,Аноним, 16:31 , 10-Окт-18
• Опубликованы результаты аудита системы обновления Firefox,VINRARUS, 21:13 , 10-Окт-18
  • Опубликованы результаты аудита системы обновления Firefox,Аноним, 07:54 , 11-Окт-18

> в коде на языке Си

ну ясно был бы раст, и ошибок не было...

Ха, судя по дислайкам, ирония не прошла)))

список ошибок в студию, тогда можно будет сказать, помог бы там раст или нет
против определенных классов ошибок он таки панацея

> против определенных классов ошибок он таки панацея

Мозила тоже рассказывала что просмотр пдфок на JS безопасным будет. И в результате эти вебмакаки влепили в свой просмотрщик эпичнейший 0day, да еще кроссплатформенный - шик!

Сдается мне что растовики-затейники будут нифига не лучше код писать. За них тоже компилер подумает, что уж там.

> Сдается мне что растовики-затейники будут нифига не лучше код писать. За них
> тоже компилер подумает, что уж там.

" … положили они железнодорожный рельс и стали пилить: Вз.. пррр-дррр-хррр сказала пила — АГА! сказали мужики и пошли валить лес топором"

ну ессьно, не аудит же самого браузера проводить, особенно на предмет шпионажа за пользователями...

https://spyware.neocities.org/articles/

Это теперь телеметрия называется.

фашисты в концлагерях побои тоже называли благими словами...

в контексте "фашисты в концлагерях", слово "побои"  звучит как-то безобидно.

> в контексте "фашисты в концлагерях", слово "побои"  звучит как-то безобидно.

Для более обидных случаев была "дезинфекция". Например таким полезным для здоровья химикатом как циклон-б.

А как такое поведение называется, не напомните, когда софт что-то себе качает и выполняет, кладя болт на пожелания пользователя? А если удалить или запретить запись, начинает или тупить при завершении, или создавать каталоги с другим именем. Запамятовал чуток, помогите.

Windows 10 называется.

Недонастроенность. А еще можно назвать "чужая сборка", "мне лень писать свой браузер" и т д

Она самая, как есть Windows 10)) Дерьмософт, короче...

> А как такое поведение называется, не напомните, когда софт что-то себе качает
> и выполняет, кладя болт на пожелания пользователя? А если удалить или
> запретить запись, начинает или тупить при завершении, или создавать каталоги с
> другим именем. Запамятовал чуток, помогите.

Тупой пользователь, который не знает, как лучше. Ему помогут.

> серверного бэкенда Balrog

Может не надо называть серверный компонент именем древнего демона?

Это оскорбляет чувства сатанистов?

Нет, сатанисты-то тут при чём? Возмущаются хипстеры: демон ведь древний.

Это демон из "Властелина колец", вообще-то. Перед тем, как строчить коммент, погуглил бы, о чем идет речь, чтобы не позориться.

Ну я не знаю с каких фэнтезийных произведений демоны считаются достойными поклонения а с каких нет. Да и не важно учитывая комический тон комментария.

А может не надо суеверий в 2019?
И как же демоны в линуксе? Может поэтому с десктопной долей так плохо и надо переименовать от греха подальше?

> И как же демоны в линуксе?

все ок, успешно изведены почти все.

> Может поэтому с десктопной долей так плохо и надо переименовать от греха подальше?

наоборот, ради десктопной доли не переименовали, а старательно уничтожили как класс - у нас теперь "сервисы", "как в винде".
Правильно отцепляться от controlling tty уже почти все разучились, и мы работаем над тем, чтобы разучились окончательно.

А на одном демоническом заклинании fork далеко не уедешь.

В винде - службы и иконки, а в линуксе - демоны, зомби, powerdevil, bluedevil, kill, killall...

/etc/services смотреть запрещают?

> И как же демоны в линуксе?

Кастрированы. Demons превратились в daemons.

чего бы это не называть, рабы должны помнить, какому хозяину они на самом деле служат!

Так он и есть демон, не?

не переживай, гендальф белый тебе придет на помощь, если что!

Чтобы всех отыскать, воедино собрать и единою чёрною волей сковать.

Через PVS*****o прогнали?

Пфф, а я сам написал автоматическую обновлялку огнепанды на shell.

> Пфф, а я сам написал автоматическую обновлялку огнепанды на shell.

Молодец. Можешь теперь продать мозиловцам, они заменят им свой древний balrog