MS apuntado con el dedo por plugin que se instala a Firefox

[[CptRenko]]

En Febrero de este año Microsoft publicó una actualización del framework .NET (pasando a la versión 3.5 SP1), que contenía una vulnerabilidad que permitía a un atacante instalar y ejecutar aplicaciones sin requerir permiso alguno.

La actualización en cuestión incluía un componente que garantizaba la compatibilidad con Windows Presentation Foundation, por medio de la tecnología ClickOnce. Dicha tecnología no sólo se instalaba en Internet Explorer, sino que también en Firefox sin que el usuario recibiera algún tipo de aviso al respecto, provocando que la vulnerabilidad también afectara al navegador de Mozilla.

El tema es que ahora Mozilla decidió salir al paso del problema creado por Microsoft, bloqueando el plugin de Microsoft luego de llegar a un acuerdo entre ambas compañías (como para que aprendan la lección).

Ahora los medios son los que han salido a apuntar a Microsoft con el dedo, no sólo por el hecho de que pasaran a llevar a los usuarios instalando una actualización que incluía una grave vulnerabilidad sino que también por hacerla extensiva a otros navegadores, sin siquiera advertirle a los usuarios y sin que estos tuvieran alguna alternativa para desinstalarla.

Otros apuntan a la compañía por el hecho de que sólo hace algunas semanas desde Microsoft salieron a criticar el plug-in Google Chrome Frame, complemento ideado para que Internet Explorer utilizara el mismo motor de Chrome, señalando que este hacía a su navegador más inseguro.

Fuente : http://www.fayerwayer.com/2009/10/microsoft-apuntado-con-el-dedo-por-extension-que-se-instala-en-firefox/

Con estas cosas, cada vez desconfío mas de programas que contengan la palabra "Microsoft".

[TheClansman]

Con estas cosas, cada vez desconfío mas de programas que contengan la palabra "Microsoft".

y sin embargo sigues usando windows WEON

[JC]

Microsoft si proporciona ayuda para remover el plugin de Firefox:
http://support.microsoft.com/kb/963707

Mozilla agregó a la lista de plugins bloqueados los de Microsoft y los contacto para notificarles, a lo que los de Redmon respondieron que era una idea estupenda y que estaban completamente de acuerdo.

Y sí, es un fallo que ya se trabaja por corregirlo, y que para nada mejora a un Firefox, que ya de por sí había tenido problemas de seguridad, sobre todo en su última presentación.

Los programas de MS hoy por hoy son buenos programas, y muchos de ellos han presentado una importante mejora para el usuario en sus versiones más recientes. Además, se han puesto las pilas en muchos aspectos en todos sus productos (véase Windows, Office, toda la Wave de Windows Live, MSE, etc), incluídos aquellos aspectos que se refieren a la seguridad. Igual fallos de seguridad siempre va haber en general con programas de cualquier empresa.

Por cierto, no solo plugins de MS fueron bloqueados:

Internet Download Manager, v2.1-3.3 for Firefox 3.0a1 and newer. Reason: caused startup crashes (see bug 382356).
Free Download Manager, v1.0-1.3.1 for Firefox 3.0a1 and newer. Reason: high crash volume (see bug 408445).
Yahoo Application State Plugin, v1.0.0.5 and older for Firefox 3.0a1 and newer. Reason: high crash volume (see bug 419127).
Vietnamese Language Pack, v2.0 for all applications. Reason: corrupted files (see bug 432406).
Apple QuickTime Plugin, v7.1.*, for all Firefox 3 versions on Windows. Reason: remote code execution in multiple versions (see bug 430826).
Crawler Toolbar, for Firefox 3.0a1 and newer. Reason: high crash volume (see bug 441649).
Daemon Tools Toolbar, versions older than 1.0.0.5, for all applications. Reason: high crash volume (see bug 459850).
AVG SafeSearch, versions older than 8.0, for Firefox 3.1a1 and newer. Reason: breaks a core navigation method (see bug 479095).
Microsoft .NET Framework Assistant and Windows Presentation Foundation, all versions, for all applications. Reason: remote code execution vulnerability (see bug 522777).

https://www.mozilla.com/en-US/blocklist/

UPDATE: .NET Framework Assistant DESBLOQUEADO:
http://shaver.off.net/diary/2009/10/18/update-net-framework-assistant-clickonce-support-unblocked/

We received confirmation from Microsoft this evening that the Framework Assistant add-on is not a mechanism for exploiting the vulnerabilities detailed in the earlier post, so we've removed it from the blocklist.

Parece que "no es un mecaniso para explotar vulnerabilidades"... ay ay ay.

También sería interesante decifrar que tan criticable es que ese plugin se haya instalado, cuando Apple y Adobe (y otros más) han hecho lo mismo con Quicktime y Flash, respectivamente. En todo caso lo criticable más bien serían los problemas que eso pueda traer consigo.

Y bueno encontré esto... hay mucha info (en inglés) y no es tanto el escándalo como quieren hacer ver algunos medios:
https://bugzilla.mozilla.org/show_bug.cgi?id=522777

[Mangetsu]

Me da cosa que bloqueásen el Crawler, no estaba mal. Pero bueno, al final, ya lo arreglarán, me imagíno.

[Murder Death Kill]

A mi se me dió por mirar los complementos y tengo este que es incompatible con firefox 3.5.3



WTF?