Ernste Sicherheitslücke unter x.org/xserver ff1.5.0.5?!

Du benötigst Hilfe bezüglich Firefox? Bitte stelle deine Frage im öffentlichen Bereich des Forums und nicht per Konversation an wahllos ausgesuchte Benutzer. Wähle dazu einen passenden Forenbereich, zum Beispiel „Probleme auf Websites“ oder „Erweiterungen und Themes“ und klicke dann rechts oben auf die Schaltfläche „Neues Thema“.
  • Hallo,
    Ich bin heute über eine möglicherweise neue Sicherheitslücke gestolpert.


    Kann jemand bestätigen, dass Firefox auf der Seite deren url ich weiter unten angeben werde, x.org unter ubuntu dapper zum Absturz bringt?


    Also Achtung und alle Daten sichern, bzw. offenen Programme vorher schließen. Es könnte sich jedoch um einen in ff1.5.0.5 bereits geschlossenen Bug handeln, da ich nicht weiß, ob ff 1.5.0.4 in ubuntu schon die neuen patches er sicherheitsupdates für 1.5.0.5 enthält (zumindest früher hat ubuntu so etwas gemacht):


    Hier der Link , bitte das Leerzeichen nach http entfernen (in opera und konqueror führte er nicht zum Absturz des xservers):


    http ://madwifi.org/report/1?format=tab&USER=anonymous


    Keine Angst, die seite http://madwifi.org/ ist sauber, aber wenn ihr dapper benutzt wird euer x.org oder x11 mit ziemlicher Sicherheit abschmieren, und alle offenen Programme, die auf dem xserver laufen mit sich reißen.


    Das wird wahrscheinlich auch auf anderen xseerver systemen passieren. Also vorher schön sichern, und alle Programme schließen.


    Falls ihr das sogar mit ff 1.5.0.5 auf einem anderen linux system bestätigen könnt: Wo setzte ich den bugreport ab?


    ciao


    Gerhard

    2 Mal editiert, zuletzt von floogy ()

  • Hallo floogy,


    Ja, das kann ist bestätigen. Und zwar mit Fx 1.5.0.5 auf einem i686 System. Die Version 1.5.0.5 war nämlich schon vor ein paar Tagen in den Ubuntu-Updates (zumindest für 32 Bit).
    Browserkennung:
    Mozilla/5.0 (X11; U; Linux i686; de; rv:1.8.0.5) Gecko/20060727 Ubuntu/dapper-security Firefox/1.5.0.5


    Die Frage ist jetzt, liegt es an Firefox, an Ubuntu, oder an X.org?
    Bugreports für Firefox müssen bei Bugzilla eingestellt werden, Bugreports für Ubuntu bei Launchpad.


    Gruß Tuvok

  • Es wäre dann ja schön, wenn das noch jemand bestätigen könnte, der ff 1.5.0.5 auf einem anderen system testet.


    Ich könnte mir vorstellen, dass die Website in einer Zeile vorhanden ist, und es sich um einen überlauf handelt, nbin aber kein Programmierer. Fonts sind jedenfalls nicht drin, das huge font problem ist ja auch schon ewig gefixt...


    Ja Kate zeigt nur eine Zeile an, das ist ganz normaler text.



    Zitat

    __color__ ticket summary component version milestone type owner created _changetime _description _reporter
    1 710 Can't find card --- HAL status 13 madwifi: other v0.9.0 defect 1150949741 1150949741 I have a Thinkpad R40 and I still do not get the WiFi worked. Seems to be an IBM dual band 11ab WiFi wireless mini pci adapter: {{{ lingen:/usr/src # lspci -n | grep "Class 0200" 02:02.0 Class 0200: 168c:0012 (rev 01) 02:08.0 Class 0200: 8086:103d (rev 81) (IBM dual band 11ab WiFi wireless mini pci adapter) }}} I use SuSE Linux 10.0 (Kernel 2.6.13-15.8-default) The problem: After installing the madwifi-modules (with some problems due to the kernel configuration of SuSE :-( ), I get the modules compiled and loaded, but then nothing happens: No WiFi-LED [...]


    Nach word count hat es ja immerhin 284 Zeilen ...


    Echt unglaublich, dass ff dadurch abstürzt!

  • Hi, unter windows xp Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.0.2) Gecko/20060308 Firefox/1.5.0.2 stürzt er nicht ab.


    Ich versuche es gerade noch mit dem update auf win xp und werde berichten.

    Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.0.4) Gecko/20060508 Firefox/1.5.0.4

    auch kein Problem. Wie bekomme ich die Browser denn auf 1.5.0.5??
    ah, ok, alles der Reihe nach: Erst mal auf 1.5.0.4 updaten, und nochmals nach updates suchen:
    Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.0.5) Gecko/20060719 Firefox/1.5.0.5 auch kein Problem.

    Einmal editiert, zuletzt von floogy ()

  • Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.0.5) Gecko/20060719 Firefox/1.5.0.5 stürzt ebenfalls nicht ab.

    Es gibt keine Auszeichnung für möglichst viel freien Arbeitsspeicher!

  • Zitat von Pseiko

    Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.0.5) Gecko/20060719 Firefox/1.5.0.5 stürzt ebenfalls nicht ab.


    Kann ich bestätigen! Dauert zwar ziemlich lange, bis was angezeigt wird, aber abszürzen tut nix!

  • Ja, Windows ist offensichtlich überhaupt nicht betroffen. Daher möchte ich nochmals bitten, dass Nutzer eines OS mit x windows system (xserver) ff 1.5.0.5 an dem Link testen!


    Wenn ich eine Bestätigung abweichend von ubuntu dapper bekomme, so würde ich den bug auch in bugzilla posten, und nicht nur in launchpad.

  • Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.7.12) Gecko/20060216 Debian/1.7.12-1.1ubuntu2 stürzt unter ubuntu 6.06 dapper drake amd64 nicht ab!


    epiphany GNOME Web Browser 2.14.2.1 Using “gecko-1.8” backend stürzt auch nicht ab.

  • Firefox 1.5.0.5
    Mozilla/5.0 (X11; U; Linux x86_64; de; rv:1.8.0.5) Gecko/20060727 Ubuntu/dapper-s e c u r i t y Firefox/1.5.0.5
    stürzt ab.


    Firefox 1.5.0.4
    Mozilla/5.0 (X11; U; Linux i686 (x86_64); de; rv:1.8.0.4) Gecko/20060608 Ubuntu/dapper-s e c u r i t y Firefox/1.5.0.4
    stürzt auch ab (i386_chroot)


    Aber:
    Firefox 1.5.0.5
    Mozilla/5.0 (X11; U; Linux i686 (x86_64); de; rv:1.8.0.5) Gecko/20060727 Ubuntu/dapper-s e c u r i t y Firefox/1.5.0.5
    stürzt nicht ab!! (i386_chroot)


    Ist es also doch schon gefixt? in amd64 jedenfalls noch nicht...


    Edit: Zu früh gefreut! Nach ein paar scrollbewegungen hoch und runter, ist der xserver wieder abgeschmiert!:
    Firefox 1.5.0.5
    Mozilla/5.0 (X11; U; Linux i686 (x86_64); de; rv:1.8.0.5) Gecko/20060727 Ubuntu/dapper-s e c u r i t y Firefox/1.5.0.5
    stürzt doch ab!! (i386_chroot)

    7 Mal editiert, zuletzt von floogy ()

  • Es schenit also an Firefox zu liegen! :roll:
    Ihr sollet mal eine andere Disrti probieren, z.b. Kanotix als LiveCD booten!

  • Würdet Ihr sagen, dass diese bugreports das gleiche beschreiben?
    https://launchpad.net/products/firefox/+bug/38131
    https://bugzilla.mozilla.org/show_bug.cgi?id=330605


    Ich denke eher nicht, weil es garkeine Animation gibt, sondern es sich hier um sehr lange Zeilen handelt.


    Oder könnte es was mit diesem bug zu tun haben https://bugzilla.mozilla.org/show_bug.cgi?id=336668 , der allerdings "bon echo" gilt.


    Es sind weitere Tester und Meinungen gewünscht, bevor ich einen eigenen Bugreport schreibe.

  • Ich würde sagen, Bug 46034 ist der gesuchte Bug. Auf der dort angegebenen Seite:

    Code
    http://ftp-master.debian.org/rene-daily.txt

    kann ich den Absturz aber nicht bestätigen. Dafür aber auf der im Comment 16 angegebenen Seite:

    Code
    http://www.croczilla.com/svg/samples/butterfly/text_view?obj=butterfly.svg

    Im Bugreport ist zu lesen, das der Fehler nur bei nvidia-glx auftritt, den ich ebenfalls verwende, du auch floogy?

  • Habt ihr es schon mal mit dem "normalen" Fx direkt von Mozilla versucht? Der Ubuntu-Fx zeigt mitunter ein paar seltsame Eigenheiten. Ich kann es gerade nicht ausprobieren, zwar ein Ubuntu 6.06 aber kein Fx 1.5.0.5 zur Verfügung.

    Hinweis!!!
    Die Durchführung von meinen Tips ist freiwillig und obliegt dem Administrator oder Besitzer des Rechners.
    Für Fehler, Datenverlust oder Beschädigungen übernehme ich keinerlei Verantwortung!!!
    Kein Support per Mail oder PN!!!

  • Ich warte immer noch auf weitere Berichte unter anderen xserver systemen. Positiv wie Negativ Meldungen zu dem bug sind wilkommen.


    Ich weiß nicht, ob ich so leicht den firefox aus den Quellen compiliert bekomme, bzw. ob das binary paket sich nicht mit meiner firefox installation 'beißt'.

  • Firefox zu kompilieren sollte eigentlich recht leicht sein, nimm einfach die Original config des Mozilla Builds (ruhig auch das offizielle Branding, du gibst das Ding ja nicht weiter) und installiere die entsprechenden -dev Pakete. Nimm dann noch irgend ein anderes Verzeichnis als prefix als dein Ubuntu-Fox und warte bis er durchkompiliert ist. Du könntest allerdings auch einfach das Mozilla-Build nehmen in dein home-directory entpacken und gefahrlos ausprobieren (Profil trotzdem vorher sichern).

  • Zitat von LonesomWolf

    Habt ihr es schon mal mit dem "normalen" Fx direkt von Mozilla versucht? Der Ubuntu-Fx zeigt mitunter ein paar seltsame Eigenheiten.


    Mit dem offiziellen FX 1.5.0.5 von Mozilla.org tritt der X-Server-Absturz nicht auf, auf keiner der Seiten.

  • Ich habe jetzt auch mal mit dem heutigen Nightly von Fx 2.0b getestet. Ergebnis: einmal System komplett eingefroren, einmal X-Server-Absturz.
    Daraufhin habe ich denn nochmals mit mit dem offiziellen 1.5.0.5 getestet: Auch damit konnte ich dann sowohl das Einfrieren wie den Absturz nachvollziehen. Nur muss ich bei dem offiziellen Build länger warten bis was passiert.