Bug nell' URI handler di Firefox

Sembrerebbe proprio che Firefox non voglia andare d'accordo con Internet Explorer; è da pochi giorni la scoperta di una falla nel software del panda rosso che permetterebbe l'esecuzione in locale di codice arbitrario.

L' advisory ufficiale presente su Secunia mette in risalto la cattiva gestione di un URI handler che Firefox installerebbe nel registro di sistema di windows.
L' handler "firefoxurl://" utilizzato senza corretta validazione, permetterebbe a Firefox di eseguire del codice javascript nocivo.

La citazione fatta da molti secondo cui Internet Explorer permetterebbe questa esecuzione è superflua; la registrazione dell'handler infatti, avviene a livello di sistema operativo, quindi l'invocazione dell' handler è permessa anche a livello di sistema operativo anche se per questo specifico bug, occorre l' interpretazione di codice Javascript. Di conseguenza qualsiasi browser installato su Windows che permetta l' interazione con gli handler del sistema operativo, potrà generare questo problema.

Una serie di dimostrazioni potrete provarle a questo link.

La vulnerabilità è confermata in Firefox 2.0.0.4 installato su Windows XP SP2 patchato.

In attesa che Firefox patchi il bug, potremmo usare un workaround, disabilitando l' handler in questione. Per fare ciò occorre cancellare dal registro di Windows la chiave HKEY_CLASSES_ROOT\FirefoxURL.