Opera łata (roczną?) dziurę w przetwarzaniu SVG

W Operze 11.52 nareszcie załatano dość starą lukę bezpieczeństwa. Luka znajdowała się w części odpowiedzialnej za przetwarzanie grafik SVG.

10 października José A. Vázquez na swoim blogu opublikował opis luki wraz z gotowymi exploitami. Okazuje się, że Vázquez odkrył wadę przetwarzania SVG w Operze 11.x prawie rok wcześniej. Wydawca przeglądarki został natychmiast powiadomiony za pośrednictwem SSD (SecuriTeam Secure Disclosure), ale luka była wciąż obecna w kolejnych wydaniach przeglądarki, a wydawca przeglądarki został oskarżony o celowe ignorowanie potrzeby załatania dziury. Opublikowanie gotowego exploita przez Vázqueza miało na celu zmuszenie twórców Opery do działania i najwyraźniej w końcu odniosło skutek.

Luka powodowała błąd w operowaniu pamięcią podczas przetwarzania treści w formacie SVG umieszczonych w znacznikach frameset. Wystarczy, że użytkownik odwiedzi odpowiednio spreparowaną, szkodliwą stronę, aby wstrzyknąć złośliwy kod do pamięci jego komputera. Według testów Vázqueza w przypadku wersji 11.x przeglądarki około 3 z 10 ataków kończy się sukcesem, zaś testowa wersja pre-alpha Opery 12 przepuszcza aż 6 z 10 ataków.

Nieco inaczej wygląda sprawa od strony Opery. Na blogu firmy można przeczytać, że nieprawdą jest, jakoby ktoś postanowił nie naprawiać luki. Dopiero w kwietniu tego roku do Opery dotarł raport o błędach odkrytych przez Vázqueza, które dotyczyły aktualnej wtedy wersji Opery. Większość z nich została naprawiona, a poprawki trafiły w ręce użytkowników wraz z Operą 11.11. Pozostałych błędów nie udało się specjalistom z Opery odtworzyć i nie udało im się skontaktować z osobą, która je wykryła. Publikacja Vázqueza spadła na specjalistów zabezpieczających przeglądarkę jak grom z jasnego nieba, gdyż ich zdaniem nie dość, że wektor ataku został zmodyfikowany, aby narazić również współczesne wydania Opery, to jeszcze publikacja gotowych exploitów poważnie naraża użytkowników przeglądarki.

Wersje wydarzeń przedstawione przez Vázqueza i Operę nie zgadzają się na wielu płaszczyznach i zapewne już nie dowiemy się jaki naprawdę był los krytycznej luki. Najważniejsze jednak, aby użytkownicy zaktualizowali swoje przeglądarki do wersji 11.52 (Windows, Linux, Mac OS X), o ile jeszcze tego nie zrobili.