A Mozilla Firefox böngészőjének hibája miatt a kiberbűnözők könnyen ellophatják a felhasználói információkat olyan webhelyeken, ahol a felhasználók saját oldalakat hoznak létre, mint például a MySpace.com.
A hiba a Firefox Password Manager szoftverében rejlik, amelyet be lehet csalni úgy, hogy jelszóadatokat küldjön a támadó webhelyére – mondta Robert Chapin, a Chapin Information Services elnöke. Ahhoz, hogy ez a támadás működjön, a támadóknak képesnek kell lenniük HTML (Hypertext Markup Language) űrlapok létrehozására a webhelyen, ami megengedett a blogírásokon és a közösségi oldalakon.
A támadást egy október végén jelentett MySpace adathalász támadás során használták. Ebben a támadásban a felhasználók egy login_home_index_html nevű MySpace-fiókot regisztráltak, és azt használták egy hamis bejelentkezési oldal tárolására, amely kihasználta a hibát.
Ez az oldal elküldte a MySpace felhasználónevét és jelszavát egy másik webhelyre, és a MySpace-felhasználók, akik Firefox használatával látogatták meg az oldalt, könnyen veszélybe kerülhettek volna – mondta Chapin.
A Firefox fejlesztői kritikusnak minősítik ezt a hibát, egy an bejegyzés a projekt Bugzilla adatbázisába. A hiba az összes operációs rendszer verzióját érinti a jelentés szerint.
A hiba abból adódik, hogy a Firefox Jelszókezelője nem végez elég alapos ellenőrzést, amikor eldönti, hogy elküldi-e jelszóinformációkat, majd nem biztosítja, hogy a jelszóadatok elküldésre kerüljenek az azt kérő kiszolgálónak, Chapinnek mondott. A MySpace támadásban például a Firefox ellenőrizni fogja, hogy az űrlap a következőtől származik-e MySpace.com domain, de nem győződjön meg arról, hogy a jelszó információ visszaküldésre került a MySpace szerver.
„Programozási szempontból ez majdnem olyan, mint egy elírás” – mondta. „Ironikus módon azt gondolom, hogy ez az oka annak, hogy eddig nem fedezték fel. Túl nyilvánvaló volt.”
Chapin közzétett egy elemzés az ilyen típusú támadások, amelyeket Reverse Cross-Site Request-nek nevezett el, valamint a működésének bemutatása.
A Microsoft Corp. Internet Explorer (IE) is érzékeny az ilyen típusú támadásokra, mert pl Firefox, nem biztosítja, hogy a jelszóadatok ugyanarra a szerverre kerüljenek elküldésre, amelyik kéri, – mondta Chapin.
De kevésbé valószínű, hogy az IE-t becsapják, mert alaposabban ellenőrzi, honnan származik a bejelentkezési űrlap, mielőtt automatikusan elküldi a jelszót és a felhasználói információkat – tette hozzá.