Firefox 1.02 corrige une faille de sécurité importante

La Fondation Mozilla a mis en ligne, mercredi 23 mars 2005, une nouvelle version de son navigateur alternatif. Firefox 1.02 se contente essentiellement de corriger plusieurs failles de sécurité. Dans ce cadre, la Fondation invite vivement les utilisateurs à mettre à jour leur navigateur fétiche, soit en téléchargeant la nouvelle version en ligne, soit en utilisant la mise à jour automatique intégrée dans le fureteur (accessible à partir des Options avancées du menu Outils).

La faille principale vient d’une erreur de codage dans l’interprétation des images Gif animées. Cette brèche, héritée de Netscape, permettrait à un pirate de prendre le contrôle de la machine en provocant un débordement de mémoire tampon. Il faudrait cependant que l’indélicat parvienne à faire afficher un Gif animé dans le navigateur de sa victime, en l’attirant sur un site piège notamment, afin de déclencher le script malicieux.

56 jours de vulnérabilité

Cette mise à jour intervient trois semaines après la version 1.01 du navigateur alternatif, laquelle corrigeait le bug lié aux noms de domaine internationaux (voir édition du 8 février 2005). Cette fréquence des mises à jour démontre, s’il en était besoin, la réactivité de la communauté du libre pour sécuriser le navigateur alternatif à Internet Explorer.

Selon la société belge de sécurité ScanIT, Firefox a connu 56 jours de vulnérabilité en 2004. Contre 358 jours (!) pour Internet Explorer. ScanIT établit cette constatation à partir de son outil de test en ligne où il apparaît que IE constitue 72 % des visites tandis que Mozilla/Firefox dépasse les 20 % et Opera frôle les 5 %. Sur les 478 000 tests effectués, moins de la moitié (47,2 %) ne présentaient aucune vulnérabilité contre près de 35 % qui révèlent des failles très importantes.

30 millions de téléchargements

Paradoxalement, dans son septième rapport bi-annuel sur la sécurité, Symantec attribue 21 failles aux navigateurs de la famille Mozilla contre 13 pour celui de Microsoft (voir édition du 22 mars 2005). Mais seules 7 failles trouvées dans Firefox étaient considérées comme très sévères contre 11 pour IE.

La version 7 d’IE, attendue pour début 2006, devrait corriger bon nombre de problèmes (voir édition du 17 mars 2005). Tout comme Firefox 1.1 programmé pour juin prochain (voir édition du 14 mars 2005). Cette future version devrait optimiser la navigation et offrir de nouvelles fonctionnalités. Selon la Fondation Mozilla, Firefox a été téléchargé plus de 30 millions de fois dans 28 langues.