En
sus últimas versiones (la 15 para Thunderbird y Firefox y la 2.12 para Seamonkey),
la fundación Mozilla ha corregido 31
vulnerabilidades repartidas en 16 boletines para sus productos. Además, en
esta versión introduce las
actualizaciones "silenciosas",
al más puro estilo Chrome y Flash.
La fundación Mozilla acaba depublicar 16 boletines numerados de MFSA 2012-57 al MFSA 2012-72 que cubren 31
vulnerabilidades. Una de ellas para Firefox para Android, y el resto de las 30
para Firefox principalmente, puesto que Thunderbird y Seamonkey no se ven
afectados por todas.
Siete boletines son de carácter crítico (ejecución remota), seis
alto, y otros tres de moderado. Por supuesto, las vulnerabilidades son de todo tipo:
desde las que permiten ejecución de código hasta las que facilitan ataques de
cross site scripting.
La última
actualización de Mozilla ocurrió el 17 de julio, y fueron 15 boletines que
corregían alrededor de 20 vulnerabilidades. Tenemos que remontarnos hasta el 13
de abril de 2006 para superar este número de boletines. En aquella ocasión
fueron 19 (MFSA 2006-09 a
MFSA 2006-29) pero no cubrían tantas vulnerabilidades. Agrupar CVEs en un único boletín es una práctica que los fabricantes
vienen haciendo de un tiempo a esta parte.
Por otro lado, con esta actualización Firefox introduce la actualización silenciosa en Windows. Esta es una técnica popularizada por Chrome, que deja de contar con la aprobación del usuario para actualizar el navegador. Por defecto Chrome realizará su mantenimiento sin esperar confirmación o consentimiento alguno por parte del usuario. Esto ha permitido el éxito de Chrome, que cuenta con el parque "más nuevo" de usuarios, puesto que la inmensa mayoría se encuentran actualizados y, por tanto, son mucho menos vulnerables. Plagiando el método, Adobe introdujo un sistema de actualización automática sin contar con el usuario hace unos meses. Firefox, si bien se lleva anunciando un tiempo, lo introduce en su versión 15. Oficialmente, se hace para "evitar que el usuario tenga que hacer click en UAC".
Si se desea, puede ser
deshabilitado. En las opciones avanzadas, se
puede desactivar la funcionalidad, que no es más que un servicio de Windows corriendo
bajo privilegios de SYSTEM.
Más información:
Mozilla
Foundation Security Advisories
Sergio de los Santos
Twitter: @ssantosv
No hay comentarios:
Publicar un comentario