Luka w przeglądarce Mozilla Firefox ułatwia cyberprzestępcom kradzież informacji o użytkownikach w witrynach internetowych, na których użytkownicy tworzą własne strony, takich jak MySpace.com.
Luka leży w oprogramowaniu Firefox Manager, które można oszukać w celu wysłania informacji o haśle do strony internetowej atakującego, powiedział Robert Chapin, prezes Chapin Information Services. Aby ten atak zadziałał, osoby atakujące muszą mieć możliwość tworzenia formularzy HTML (Hypertext Markup Language) w witrynie sieci Web, co jest dozwolone w blogach i witrynach sieci społecznościowych.
Atak został wykorzystany w ataku phishingowym MySpace zgłoszonym pod koniec października. W tym ataku użytkownicy zarejestrowali konto MySpace o nazwie login_home_index_html i użyli go do hostowania fałszywej strony logowania, która wykorzystywała lukę.
Ta strona wysłała informacje o nazwie użytkownika i haśle MySpace do innej witryny sieci Web, a użytkownicy MySpace, którzy odwiedzili tę stronę za pomocą przeglądarki Firefox, mogli łatwo narazić się na szwank, powiedział Chapin.
Twórcy Firefoksa oceniają ten błąd jako krytyczny, zgodnie z an wpis w bazie Bugzilla projektu. Według raportu błąd dotyczy wersji we wszystkich systemach operacyjnych.
Wada powstaje, ponieważ Menedżer haseł Firefoksa nie przeprowadza wystarczająco dokładnej kontroli, gdy decyduje, czy wysłać informacje o haśle, a następnie nie zapewnia, że informacje o haśle są wysyłane do serwera, który o to poprosił, Chapin powiedział. Na przykład w ataku na MySpace Firefox sprawdzał, czy formularz pochodzi z domeny MySpace.com, ale nie upewnił się, że informacje o haśle zostały odesłane do domeny a Serwer MySpace.
„Z programistycznego punktu widzenia jest to prawie jak literówka” – powiedział. „Jak na ironię, myślę, że właśnie dlatego nie został odkryty do tej pory. To było po prostu zbyt oczywiste.
Chapin opublikował analiza tego typu ataku, który nazwał Reverse Cross-Site Request, a także pokaz jak to działa.
Internet Explorer (IE) firmy Microsoft Corp. jest również podatny na tego typu ataki, ponieważ np Firefox nie zapewnia, że informacje o haśle są wysyłane do tego samego serwera, który ich żąda, — powiedział Chapin.
Ale IE jest mniej podatny na oszukiwanie, ponieważ dokładniej sprawdza, skąd pochodzi formularz logowania, zanim automatycznie prześle hasło i informacje o użytkowniku, dodał.