Lors de la conférence ToorCon 2006 qui se déroulait du 29 septembre au 1er octobre 2006 à San Diego (US), une conférence a attiré tous les regards du monde de l'OpenSource, celle sur la démonstration de failles 0-day dans le navigateur Mozilla Firefox.

Mischa Spiegelmock et Andrew Wbeelsoi ont présenté leur travail de recherche de vulnérabilités dans le moteur de Firefox, déclarant avoir découvert une trentaine de failles Javascript exploitables afin d'exécuter du code sur le navigateur Firefox. Cette présentation a été illustrée par une démonstration de l'une de ces 0-day, combinée à quelques slides dans lesquelles des informations sur le code étaient disponibles.
Les deux compères ajoutèrent que ces failles étaient incorrigeables par la nature même de l'implémentation du moteur Firefox.
Un représentant de Mozilla est entré en scène pour demander que ces exploits ne soient pas dévoilés ou utilisés pour déployer des botnets, à ce quoi Mischa Spiegelmock et Andrew Wbeelsoi ont répondu que ces exploits ne seraient utilisés que pour la communication entre blackhats.

Réaction immédiate de Firefox, par l'intermédiaire de Window Snyder, qui déclarait après avoir pris connaissance de la vidéo et que cette faille semblait être une variante d'une ancienne attaque.
Ensuite s'en sont suivies de nombreuses informations et désinformations concernant ces fameuses failles 0-days. Plusieurs entrées bugzilla ont été ouvertes mais sont restées privées ne proposant que les changements du code, ce qui a continué à alimenter les rumeurs dans la communauté du libre.

Finalement, dans une lettre adressée à Window Snyder, Mischa Spiegelmock retourne sa veste et annonce qu'il n'est pas en possession de ces 30 0-days et que cette présentation était un canular, qu'il n'a jamais été capable d'exécuter du code et finalement rejete l'annonce faite sur son binôme au ToorCon.

Beaucoup d'encre pour pas grand chose ? Un gros coup de pub ? Il existe néanmoins des dénis de service, et gardons aussi à l'esprit que la faille setslice d'Internet Explorer (Ref Lexsi : 7256) n'était au début qu'un simple déni de service... L'équipe Mozilla reste sur ses gardes.