Mozilla corrige 30 vulnerabilidades en la última versión de Firefox, Thunderbird y Seamonkey

En sus últimas versiones (la 15 para Thunderbird y Firefox y la 2.12 para Seamonkey), la fundación Mozilla ha corregido 31 vulnerabilidades repartidas en 16 boletines para sus productos. Además, en esta versión introduce las actualizaciones “silenciosas”, al más puro estilo Chrome y Flash.

La fundación Mozilla acaba depublicar 16 boletines numerados de MFSA 2012-57 al MFSA 2012-72 que cubren 31 vulnerabilidades. Una de ellas para Firefox para Android, y el resto de las 30 para Firefox principalmente, puesto que Thunderbird y Seamonkey no se ven afectados por todas.

Siete boletines son de carácter crítico (ejecución remota), seis alto, y otros tres de moderado. Por supuesto, las vulnerabilidades son de todo tipo: desde las que permiten ejecución de código hasta las que facilitan ataques de cross site scripting.

La última actualización de Mozilla ocurrió el 17 de julio, y fueron 15 boletines que corregían alrededor de 20 vulnerabilidades. Tenemos que remontarnos hasta el 13 de abril de 2006 para superar este número de boletines. En aquella ocasión fueron 19 (MFSA 2006-09 a MFSA 2006-29) pero no cubrían tantas vulnerabilidades. Agrupar CVEs en un único boletín es una práctica que los fabricantes vienen haciendo de un tiempo a esta parte.

Por otro lado, con esta actualización Firefox introduce la actualización silenciosa. Esta es una técnica popularizada por Chrome, que deja de contar con la aprobación del usuario para actualizar el navegador. Por defecto Chrome realizará su mantenimiento sin esperar confirmación o consentimiento alguno por parte del usuario. Esto ha permitido el éxito de Chrome, que cuenta con el parque “más nuevo” de usuarios, puesto que la inmensa mayoría se encuentran actualizados y, por tanto, son mucho menos vulnerables. Plagiando el método, Adobe introdujo un sistema de actualización automática sin contar con el usuario hace unos meses. Firefox, si bien se lleva anunciando un tiempo, lo introduce en su versión 15. Oficialmente, se hace para “evitar que el usuario tenga que hacer click en UAC”.

Fuente