Mozilla- ja Firefox-selaimissa tietovuotohaavoittuvuus

Jaa'a. Luulisi ylivuotojen testaamisen olevan kovimmalla prioriteetilla *minkä tahansa* softaa tekevän firman/poppoon laatukäsikirjassa. Silti näitä löytyy tasaisin väliajoin milloin kultakin taholta.

Ai, hassusti suurin osa PHP-mokista on register_globals-kamaa, ei tarkisteta syötettä jne. On itse tulkissakin vikoja, mutta yleensä häkkäykset ja murrot menevät kyllä sen surkeasti tehdyn koodin läpi tuollakin. Itsekin olen törmännyt pariin tapaukseen, jossa PHP-koodi (ei tietenkään minun tekemäni, minä en sentään noin pahoja mokia tee ;) antoi lähettää tiedoston ja sen jälkeen käytti includea sen sisällyttämiseksi toiseen sivuun. Saa miettiä hetken oliko tuota kautta sitten lähetetty binääri ja PHP-pätkä joka ajoi sen. chroot tietysti rajoittaisi tuollaisten vakavuutta itse järjestelmän osalta, mutta kyllä tuolla mukavasti dossailisi ja muutenkin häiriköisi.

Paino sanalla "tietääkseni." Kaikkea voi löytyä, oli sendmailissakin 15 vuotta ongelma, johon kukaan ei törmännyt. En yhtään epäile etteikö qmail voisi olla vapaa kriittisistä rei'istä, mutta silti kaikkea voi löytyä.

Puhumattakaan siitä, että jopa eri kääntäjä on joskus aiheuttanut vikoja softissa, nykypäivänä tätä ei sentään juuri tapahdu. Java-puolella kylläkin on varmasti kaikille tuttua se, että softan toimivuus VM:llä X ei ole taattua, vaikka se VM:llä Y toimisikin täydellisesti (tämäkin siis nykyään jo taitaa olla menneen talven lumia).

Ja onhan ne VM:tkin tehdy C:llä monesti, joten jos VM:n päälle saa turvallisen softan, on se VM:kin turvallinen, joten ihan saman voisi tehdä suoraankin C:llä. Ei kieli sinänsä paljoa vaikuta, tekijä on tärkein.

Niin, mutta kun puhutaan teknologioista jotka hyödyntävät ja integroivat paljon muiden tekemiä teknologioita, asia ei ole niin helppoa. Ja en kyllä vieläkään usko että mikään PHP tai Java tai C tai C++ sovellus on täydellinen jos tarpeeksi testaajia ja käyttäjiä saadaan sovellusta hakkaamaan. On melko naiivia ja egoistista ajatella että osataan tehdä täydellistä koodia. Ja kuinkahan paljon sillä qmail-ohjelmistolla on käyttäjiä ja testaajia etsimässä tietoturva aukkoja ja haavoittuvuuksia?!

Firefoxiinkin alkoi tippua noita tietoturva aukkoja sun muita korjattavia kun käyttäjäkunta alkoi kasvamaan huomattavasti.

Tässä olen muuten jälleen tyytyväisempi linux kuin windows järjestelmiin. Mikä katsotaan linuxissa kuuluvan käyttöjärjestelmään on aika mutkikasta linuxissa, mutta yksiselitteistä windowsissa. Windowsissa sitä on myös aika vähän - linux distribuutioiden päivitysarkistot sisältävät satoja erilaisia ohjelmistoja eri tarkoituksiin, vaikka ne eivät varsinaisesti linux käyttöjärjestelmän osia olekaan. Windows päivittää itsensä ja vain itsensä.