В релизе Firefox 3.0.2 устранено 5 проблем безопасности, из которых две помечены как критические (на самом деле критических уязвимостей 6, но они объединены в два отчета):

• MFSA 2008-42 - в системе обработки изображений и JavaScript-движке исправлено несколько ошибок, которые могли привести к краху браузера и повреждению участков памяти процесса. Некоторые из проблем можно использовать для выполнения кода с правами браузера. Интересно, что в рамках данного отчета представлено четыре разных критических уязвимости;
• MFSA 2008-41 - злоумышленник может ввести в заблуждение враппер XPCnativeWrapperPrivilege или сформировать некорректный XSLT документ, что может привести к выполнению кода вне изолированного окружения с привилегиями браузера.
• Из некритических проблем отмечена возможность выхода за пределы текущей директории через обработчик "resource:" при использовании закодированных слэшей (MFSA 2008-44). Автоматическое вырезание некоторых символов из JavaScript блока может быть использовано для организации межсайтового скриптинга (MFSA 2008-43).
• Уязвимость, имеющая самый низкий уровень опасности, оказалась самой интересной. В сообщении упоминается возможность совершения атаки click-hijacking, когда перед самым кликом мышью на валидной ссылке, страница сдвигается и пользователь кликает на ссылку подставленную злоумышленником ( MFSA 2008-40).

Кроме устранения уязвимостей, в Firefox 3.0.2 повышена стабильность работы (особенно это заметно при использовании Hotmail и MSN), добавлена поддержка Gmail в качестве обработчика "mailto:" (Preferences / Applications / mailto: / Content Type / Gmail), добавлены новые корневые сертификаты, использующие Extended Validation (EV), обновлён русский словарь проверки орфографии, в который добавлена поддержка буквы «Ё». Про изменение политики отображения пользовательского соглашения (EULA) в анонсе ничего не сообщается, разработчики Ubuntu настояли на своей правоте.

В релизе Firefox 2.0.0.17 и SeaMonkey 1.1.12, кроме упомянутых выше уязвимостей, исправлены следующие серьезные проблемы безопасности:

• MFSA 2008-39 - в коде feedWriter найдена уязвимость, позволяющая выполнить код вне изолированного окружения;
• MFSA 2008-37 - при парсинге специальным образом закодированного URL, содержащего некорректные UTF-8 последовательности, может быть инициировано переполнение буфера и выполнен код в системе;
• MFSA 2008-38 - в nsXMLDocument::OnChannelRedirect() обнаружена проблема, позволяющая злоумышленнику выполнить JavaScript код в контексте другого сайта.

В заключение, можно сообщить о выходе календаря-планировщика Mozilla Sunbird 0.9 и, построенного на его основе, плагина для Thunderbird - Lightning 0.9. В новом релизе Lightning добавлена поддержка CalDAV и iMip/iTip, представлено несколько улучшений, связанных с внешним видом и юзабилити. Сообщается, что Lightning 0.9 является последней версией с поддержкой Thunderbird 2.0, следующие версии будут ориентированы только на Thunderbird 3.

Дополнение: На следующей неделе ожидается выход Firefox 3.0.3 с исправлением ошибки внесенной в Firefox 3.0.2 и проявляющейся в виде нарушения функций подстановки сохраненных ранее паролей, в которых встречаются символы национальных алфавитов (non-ASCII).