Mozilla schakelt Firefox-add-on van Microsoft uit

[mindcrash]

Wellicht is het de moeite waard om als aanvulling op dit artikel eens naar de informatie in mijn reactie te kijken.

De plugin zelf is in principe niet gevaarlijk, maar de exploit in het .NET Framework welke op "Patch Tuesday" is gefixed was gevaarlijk; voor zowel IE áls Firefox indien bij de laatste de .NET Assistant extensie is geïnstalleerd (Met deze extensie kan nl. via een website de CLR worden aangeroepen in Firefox, onder andere voor gebruik van Windows Presentation Foundation apps in de browser, iets wat al via COM geïntegreerd zit in IE).

Kortom: Indien de laatste (system level) patches voor het .NET Framework / Internet Explorer zijn geïnstalleerd via Windows Update (wat het geval is bij de default instellingen van Windows Update) is er dus niets aan de hand, en dat zie ik niet echt duidelijk in het artikel terugkomen.

[ Voor 9% gewijzigd door mindcrash op 18-10-2009 15:31 ]

[Verwijderd]

Er staat ook onterecht in het artikel:

Microsoft heeft inmiddels aangeraden om beide in Firefox uit te schakelen, een operatie die onder andere met een losse tool kan worden uitgevoerd.

Dat is niet juist.
Micrsoft raadt aan om de patch MS09-054 te installeren.
Het uitschakelen van de plugins wordt hoogstens aangeraden als workaround alternatief als je de patch niet kunt installeren of pas in de toekomst installeren kan.

How can I protect myself?

Customers should apply MS09-054 as this addresses the underlying vulnerability for all users, both IE and Firefox. While you’re evaluating and testing your deployment of MS09-054, you may want to consider the following workarounds.

<knip IE workaround>

For Firefox users with .NET Framework 3.5 installed, you may use “Tools”-> “Add-ons” -> “Plugins”, select “Windows Presentation Foundation”, and click “Disable”.

De nieuwsvoorziening over dit onderwerp is uitermate droevig.
Het is best controversieel om een plugin uit te schakelen terwijl het onderliggende lek al gepatched is.
Dit ontbreekt volledig in het Tweakers artikel

[ymmv]

Verwijderd schreef op zondag 18 oktober 2009 @ 15:39:
De nieuwsvoorziening over dit onderwerp is uitermate droevig.
Het is best controversieel om een plugin uit te schakelen terwijl het onderliggende lek al gepatched is.
Dit ontbreekt volledig in het Tweakers artikel

Het levert ookt hopeloze discussies onder het artikel op omdat veel reageerders op basis van die involledige berichtgeving een standpunt bepalen en dus voortdurend moeten worden terechtgewezen dat het allemaal net iets anders in elkaar zit. Maar goed, Mozilla had het allemaal ook niet helemaal door...

[Verwijderd]

Wordt het nu ook niet meteen tijd om een tweede artikel te maken

Mozilla schakelt ongevaarlijk Firefox-plugin van Microsoft weer in

Dat is namelijk precies wat Mozilla nu gaat doen:

http://shaver.off.net/dia...ckonce-support-unblocked/

[roy-t]

nog even een roep om aandacht hiero, foutjes zijn niet erg maar het wordt wel gewaardeerd als ze verbeterd worden. De fout in .Net is gepached en dat was het gedeelte van de software waar de fout zat, de interface via firefox of ie naar .net bevatte geen bug.

Zou leuk zijn als dus het nieuws artikel geupdate wordt met deze info (die in meerdere links te vinden is onder het artikel). Of wordt het zodadelijk op 'oud nieuws' of 'niet meer belangrijk' gegooid?

[Wilbert de Vries]

* Wilbert de Vries gaat de redacteur even wekken. Die had een dagje vrij.

[roy-t]

Wilbert de Vries schreef op maandag 19 oktober 2009 @ 22:21:
* Wilbert de Vries gaat de redacteur even wekken. Die had een dagje vrij.

Ah ok, dat kan natuurlijk gebeuren .

[Dimitri R]

Redacteur is er weer Het was een uitermate rommelige bedoening van Mozilla/Microsoft op zondag/maandag over of deze add-on nu wel of niet gevaarlijk is/was, inmiddels zijn ze weer van de zwarte lijst gehaald. Uiteraard moet een Windows-gebruiker alle updates hebben om geheel veilig te zijn.