Come già successo non molto tempo fà per la versione di Firefox 2.0.0.0, oggi la storia si ripete ma con la versione 2.0.0.5 e con Safari. I ricercatori della heise-security hanno scoperto oggi quasi la stessa falla.
Essa risiede nel password manager di Firefox e funziona se l’utente acconsente a salvare la password per un particolare sito. Poiché firefox riempie i campi di una form automaticamente una volta salvati i dati (user e pwd relative al sito) nelle quali sono presenti campi aventi lo stesso “name” (Ex. <input name=”user”… )
Specialmente nelle nuove web community, un aggressore potrebbe emulare la form di login per rubare i dati di accesso, che sono automaticamente riempiti da firefox e inviati al suo server. Nel passato, simile vulnerabilità permetteva di inviare i dati direttamente al server dell’aggressore non appena si cliccava sul submit. Comunque, gli sviluppatori lo fixarono e ora c’é un controllo della destinazione a cui i dati sono inviati; Markus Bucher ,però, ha notato che non è necessario cambiare la destinazione dei dati inviati: piuttosto, è possibile leggere i dati immessi via javascript che li ripresenterà sotto una forma “evil”. Ovvero è possibile utilizzare un altra pagina es page2 in cui sia presente una fake login uguale a quella di page1. In questo modo i vostri dati potrebbero essere rubati.
Praticamente, la pagina semplicemente deve accedere ai dati via DOM (il document.<form>.<field>. value).
Salvando la password nel password manager e cliccando su una page2 che riporta il fake login avremo
Al momento non è stata rilasciata alcuna patch o fix del bug che affligge tra l’altro, come su menzionato, anche Safari.
7 comments su “Firefox 2.0.0.5 & Safari: una falla permette di rubare le password”