|
|
Vulnerabilidad en Firefox favorece ataque de phishing
|
| |
VSantivirus No 2375 Año 11, sábado 17 de febrero de 2007
Vulnerabilidad en Firefox favorece ataque de phishing
http://www.vsantivirus.com/vul-firefox-cve-2007-0981.htm
Por Angela Ruiz
angela@videosoft.net.uy
Se ha reportado una vulnerabilidad en Mozilla Firefox, la cuál puede ser utilizada para eludir las restricciones de seguridad y obtener información del usuario afectado. La vulnerabilidad es del tipo
"Cross-Domain" (dominio cruzado), lo que permite a un atacante acceder a datos de un dominio diferente.
Mozilla utiliza el mismo modelo de seguridad para mantener la separación entre marcos (frames) de diferente origen. Este modelo está diseñado para prevenir que el código en la página de un dominio acceda a datos en un dominio diferente. Si dos páginas poseen el mismo protocolo
(http, etc.), y el host es el mismo, Mozilla las considera como de un mismo origen, y permite el acceso cruzado a datos entre ambas páginas.
La vulnerabilidad permite engañar al navegador para que un simple cambio en el URI de un sitio, le haga creer que dos páginas de sitios diferentes, parezcan pertenecer al mismo dominio.
URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo
(http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario@dominio, etc.). Un URL (Uniform Resource
Locators), es un URI que muestra la localización explícita de un recurso (página, imagen, etc.).
El problema es ocasionado por una incorrecta validación de la propiedad DOM llamada "location.hostname", lo que favorece el robo (por ejemplo), de cookies de autenticación de sitios al azar, siempre que el atacante convenza al usuario a visitar un sitio Web malicioso conteniendo una página especialmente modificada.
DOM son las siglas en inglés de Modelo del Objeto Documento, una forma de describir un documento XHTML, XML o cualquier HTML válido, de forma que sea posible acceder a determinados componentes del mismo sin necesidad de conocer su ubicación.
La vulnerabilidad puede ser utilizada en ataques de phishing, haciendo creer al usuario que está conectado a la página de su banco, cuando en realidad está enviando información a otra.
Se ha publicado una demostración del problema.
Para que el ataque tenga éxito, se debe tener habilitado JavaScript.
Software afectado:
- Mozilla Firefox version 2.0.0.1 y anteriores
Solución:
[23/02/07]: Actualizaciones para Firefox, Thunderbird y SeaMonkey
http://www.vsantivirus.com/mozilla-230207.htm
Otra:
Se recomienda deshabilitar la posibilidad de que un sitio Web acceda a la propiedad afectada.
Para ello, puede agregar la siguiente línea al archivo USER.JS:
user_pref("capability.policy.default.Location.hostname.set",
"noAccess");
Referencias:
CVE-2007-0981
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0981
Bug 370445 - Zalewski cookie setting / same-domain bypass vulnerability
https://bugzilla.mozilla.org/show_bug.cgi?id=370445
Firefox: serious cookie stealing / same-domain bypass vulnerability
http://www.securityfocus.com/archive/1/460217/100/0/threaded
Mozilla browsers "location.hostname" cross-domain vulnerability
http://www.kb.cert.org/vuls/id/885753
Mozilla Firefox "location.hostname" Property Handling Cross Domain Scripting Vulnerability
http://www.frsirt.com/english/advisories/2007/0624
Mozilla Firefox "locations.hostname" DOM Property Handling Vulnerability
http://secunia.com/advisories/24175/
Firefox location.hostname vulnerability demo
http://lcamtuf.dione.cc/ffhostname.html
Créditos:
Michal Zalewski
[Última modificación:
24/02/07 07:34 -0300]
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
