"Firefox Multiple Vulnerabilities"

Zitat von bugcatcher

Du scheinst aber echt nicht viel für das Mozilla-Team übrig zu haben. Giftest gegen die bei jeder sich bietenden Gelegenheit... oder kommt mir das nur so vor? ; )

*beipflichtet*
...hab ich auch grad gedacht...

Prinzipiell hat Amsterdammer aber absolut Recht! :klasse:

Zitat von bugcatcher

Du scheinst aber echt nicht viel für das Mozilla-Team übrig zu haben. Giftest gegen die bei jeder sich bietenden Gelegenheit... oder kommt mir das nur so vor? ; )

ich habe sehr viel für das mozilla team übrig, ich hasse aber amis im allgemeinen wegen ihrer lehrerehaften arroganz, mit dem erhobenen zeigefinger und mit gewalt der welt ihre sicht auf die dinge aufzuerlegen zu wollen. darueber moechte ich aber in diesem thread nich diskutieren.

worum es mir hier geht, ist, daß ich der meinung bin, daß mozilla QA durch das nichtfreigeben der seit tagen "ready for staging" stehenden localen versionen gegen die eigenen security-bug-policy der Mozilla Foundation verstoesst. anders ausgedrueckt frage ich: welche gruende wiegen denn so viel schwerer, das man am 12. juli sicherheitsluecken veroeffentlicht, hierzu aber aber offiziell nur die bugfixes in der version en-US anbietet, nicht aber in den localen sprachversionen.

da sind falsche prioritäten gesetzt. ich plädiere das nächste mal für ein global release, und nicht nur eins für amerika.

wer bugzilla lesen kann, bitte hier: bug#:300028

gruß

ps, bin ab jetzt offline wegen betriebsausflug

Zitat von UliBär

Prinzipiell hat Amsterdammer aber absolut Recht! :klasse:

Ich kann Amsterdammer da auch nur in vollem Umfang recht geben... Es mutet schon seltsam an, wenn man erst sicherheitsrelevante Bugs nicht öffentlich macht, diese mit dem Release der englischen Version dann öffentlich bekanntgibt, aber gleichzeitig nicht in der Lage ist, für alle Benutzer das nötige Update zur Verfügung zu stellen...

Nur damit keiner meint, ich wäre anderer Meinung bezüglich der Mozilla-Politik: bin natürlich auch für einen zeitgleichen Release.

Da kann man nur zustimmen. Ich würde es sogar für richtig halten, die "Confidential Vulnerabilities" erst dann zu veröffentlichen, wenn der Patch über die Update-Funktion zur Verfügung steht. bei der inzwischen großen Verbreitung von Fx wird der Anteil der Benutzer, die von sich aus nach neuen Versionen Ausschau halten, immer geringer.

Alexander

... und Mozilla QA schweigt weiterhin in allen Sprachen ausser Amerikanisch

Mal eine andere Frage:

>>> Hier <<< sind die "known vulnerabilities" bekannt gemacht.
Der dritte button von oben (msfa 2005-54) führt zu diesem Prorokoll http://www.mozilla.org/security/announce/mfsa2005-54.html , in dem vermerkt ist, das dieser bug in 1.0.5 gefixt ist. Klickt man sich via "references" weiter durch, landet man bei einer testseite für diesen bug
http://secunia.com/multiple_brows…erability_test/

Kann bitte jemand, der die offizielle win-installer-Version FF 1.0.5 en-US nutzt (die gibt es hier: http://ftp.eu.mozilla.org/pub/mozilla.or….5/win32/en-US/ ) testen, ob dies tatsächlich gefixt ist? Bitte build-ID in der Mitteilung veröffenlichen (zu finden im Programmordner durch rechstklick auf firefox.exe > Eigenschaften > Version > Produktversion.

Ich kann diesen bugfix mit folgenden build
Mozilla/5.0 (Windows; U; Windows NT 5.1; de-DE; rv:1.7.9) Gecko/20050712 Firefox/1.0.5 build ID 2005071218

nicht bestätigen :shock:

EDIT: kann den bugfix ebenfalls nicht bestätigen mit
Mozilla/5.0 (Windows; U; Windows NT 5.1; de-DE; rv:1.7.9) Gecko/20050713 Firefox/1.0.5 build ID 2005071318

EDIT 2: erledigt, falscher Alarm (siehe unten) :roll:

Der Fehler scheint gefixt zu sein. Bei mir öffnet sich nach Google ein neues leeres Fenster mit dem JavaScript-Popup, aber es steht in der Titelzeile des Popups wo das Skript her kommt:
http://www.google.com.secunia.com

Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.7.9) Gecko/20050711 Firefox/1.0.5 (ax) 1.7.9: 2005071118

das ist für mich kein bugfix, immerhin kriegt man nach dem eintippen eines pseudopasswortes als kommentar :

This could have been a malicious website trying to steal information from you. You enterded: 0815

:roll:

Warum soll das kein Bugfix sein?

Das Problem lautet doch:

Zitat

The problem is that JavaScript dialog boxes do not display or include their origin, which allows a new window to open e.g. a prompt dialog box, which appears to be from a trusted site.

In diesem Fall erscheint aber genau der Ort, wo das Skript herkommt. Die Meldung, die bei dir erscheint, ist vermutlich eine Standardmeldung, die kommt, sobald man was in das Dialogfeld eingibt.

Du hast Recht, da mozilla schreibt:

Zitat

In the fixed version these prompts will contain the hostname from the page which created it.

naja, wenn das ein bugfix ist ...

gruss :wink: