Хотелось бы, чтобы у вас не создалось впечатление, что я хочу обругать Netscape, и разрекламировать Explorer. В конце концов, плюсы и минусы есть у обоих продуктов, и каждый из них имеет право на существование и у него есть куча поклонников. И вообще спорить о вкусах это пустой. Но так или иначе, представляю вашему вниманию очередную дыру.

  Детали уязвимости: JPEG потоки формата обмена состоят из упорядоченной совокупности маркеров, параметров, и entropy-coded сегмента данных. Большинство маркеров начинаются в marker segments, которые состоят из маркера, сопровождаемого последовательностью связанных параметров. Сегменты маркера имеют переменную длину, с первым параметром, являющимся длиной (первые два байта).

  Кодируемая длина непосредственно включена в параметр длины.

  Таким образом, длины меньшее чем 2 всегда недопустимы.

  Netscape броузер использует библиотеку декодера Independent JPEG Group's (Независимой JPEG Группы) для JPEG File Interchange Format (JFIF) файлов. Однако, они устанавливают специальный обработчик для обработки COM (комментария) маркер, который хранит комментарий в памяти. К сожалению, новый обработчик не проверяет, является ли область длины допустимой, и вычитает 2 от кодируемой длины, чтобы вычислить длину комментария. Далее выделяет память для комментария (с одним дополнительным байтом для его NUL завершения) и идет в цикл, чтобы читать комментарий в память.

  Устанавливая область длины в 1, можно гарантировать, что запрос распределения памяти (0 байтов) будет выполнен. Поскольку расчетная длина комментария объявлена без знака, это будет скорее огромное положительное значение, чем маленькое отрицательное, так что цикл не будет заканчиваться до конца JPEG потока. JPEG поток будет читаться в кучу, возможно записываясь поверх других динамически распределенных буферов Netscape. Эксплуатация этой уязвимости в выполнение произвольного кода нетривиальна, но возможна на некоторых платформах.

  Является ли это недостатком в проверке ошибок кода? Да, это ошибка программиста.

  Проблема связана с выбором языка программирования, который не предлагает проверку переполнения и с компиляторами, которые традиционно не предлагают связанную проверку? Частично.

  Данная дыра имеется в продуктах Netscape , с версии 3.0 и до 4.73. В Netscape 4.74 эта проблема устранена. Ошибка присутствует в броузере и в пакете электронной почте, соответственно источником потенциальной опасности являются как письма, новости так и html документы.