Le site PacketStormSecurity avait publié un bulletin ciblant Firefox 1.5. Le problème annoncé clamait un risque de déni de service voire de débordement de mémoire dans la gestion du fichier history.dat. L'énoncé reposait sur un script générant une grosse quantité de données en son sein, afin de piéger le navigateur. Le fichier en question étant lu à chaque démarrage, de grosses lenteurs se font ressentir laissant présager un problème exploitable. Rapidement, ainsi que nous le rapportions, les sites de sécurité réputés rangeaient cette découverte dans la catégorie « risque bas » ou « non critique » et une enquête était en cours du côté de la Fondation Mozilla.

Vendredi soir, Tristan Nitot, responsable de Mozilla Europe, publiait sur son blog un bulletin explicatif, issu justement des conclusions de la Fondation. Qu'en est-il ? Les lenteurs s’expliquent ainsi facilement : dans le script de PacketStorm, le navigateur se retrouve confronté à une chaîne de 2,5 millions de caractères. Du coup, s’il y a retard au démarrage, c'est qu’il faut simplement un peu de temps au logiciel pour ingurgiter et manipuler cette masse. Et voilà pourquoi, un simple coup de balai dans l'historique permet une purge salvatrice. Finalement, la prétendue faille n’est même pas « légère » comme annoncée à tort, mais se cantonne au rang de simple coup de vent :

« Les pages Web avec des titres extrêmement longs (le test publié utilisait 2,5 millions de caractères) peuvent faire que Firefox et la suite Mozilla semblent ne plus fonctionner au démarrage alors qu'ils sont en train de lire l'historique de navigation. Le navigateur finira par fonctionner normalement, même si cela peut prendre plusieurs minutes sur un ordinateur lent. La lenteur au démarrage persistera tant que le titre long n'aura pas été retiré du fichier de l'historique, ou tant qu'il n'aura pas expiré » explique ainsi la Fondation. Celle-ci précise au final avoir mené des recherches sur ce problème et pense « qu'il n'y a pas de raison d'affirmer que des variantes de cette attaque par déni de service peuvent provoquer un plantage qui pourrait être exploité, et nous n'avons pas eu la preuve de cette affirmation. Il ne semble pas y avoir de risques pour les utilisateurs au-delà du manque de réactivité au démarrage. »