Lokale bestanden kwetsbaar door lek in Firefox
Beveiligingsonderzoekers hebben twee lekken in onderdelen van Firefox gevonden, waardoor een aanvaller in het ergste geval lokale bestanden kan stelen. Het eerste probleem zit hem in de pop-up blocker. Normaal is het zo dat websites geen toegang tot lokale bestanden hebben, maar als de gebruiker een geblokkeerde pop-up toch toestemming geeft, dan wordt de URl-toegangscontrole omzeild, en is het mogelijk voor de website om lokale bestanden te lezen.
Om de aanval te laten werken moet een aanvaller de gebruiker zover weten te krijgen dat hij op een kwaadaardige link klikt die een bestand met exploit code op het systeem installeert. Daarna verschijnt de melding of de gebruiker een pop-up wil toestaan om bijvoorbeeld een video af te spelen. Het al eerder geplaatste bestand wordt dan aangeroepen, waarna de aanvaller lokale leesrechten krijgt. Volgens de onderzoekers is dit probleem allleen aanwezig in Firefox 1.5.x.
Het tweede lek bevindt zich in het phishing filter van Firefox 2.0.0.1. Om het filter te omzeilen kan een phishing site een aantal karakters aan de URL toevoegen. De URL werkt nog steeds, alleen wordt er geen waarschuwing meer door Firefox gegeven. Dit lek werd op 19 januari aan Mozilla bekend gemaakt.
Update: tekst aangepast
upgraden naar Firefox 2...?
En dat tweede lek is geen lek, meer een bug.
https://bugzilla.mozilla.org/attachment.cgi?id=254137
Veel van de issues, ik denk van meer als de helft, zijn te
voorkomen door geen script in de browser te draaien. De
add-on (extensie) NoScript verhindert dit by default..
Vertrouw je een site kan je script toelaten (tijdelijk of
permanent). Draai een browser ook altijd op een account
zonder admin rechten, dan kan er veel minder automatisch
geinstalleerd worden.
Dit voorkomt dan dat een heleboel attack-vectors werken
(javascript en cross-site vuln.). Als ik FF of Flock moet
draaien zonder NoScript of DropMeRights zou ik hiervoor
hartelijk bedanken. Surf veilig en zeker,
polonus
Waarom heeft Mozilla dan ook aangeraden zo snel mogelijk te
upgraden naar Firefox 2...?
Om het aantal downloads niet tegen te laten vallen, want IE7 werd
uitgerold.
Puur een marketing-strategie, FF2 was eigenlijk nog niet eens af.
En dat tweede lek is geen lek, meer een bug.
Een bug die te exploiteren is blijft een lek.
Waarom zo mild voor FF?
Omdat je de pest hebt aan M$?
Lijkt me geen goede insteek.
Zonder M$ (lees: Gates) zou internet nog steeds voorbehouden zijn aan
de "happy few". Per slot van rekening is het allemaal begonnen met
MSDOS, PC-Privé projecten en hobbyisten. Dat anderen daar hun graantje
van mee willen pikken is prima, maar het vuurtje is wel door Gates aan
gestoken.
Zonder M$ (lees: Gates) zou internet nog steeds voorbehouden
zijn aan
de happy few
tuurlijk niemand anders had natuurlijk aan een os kunnen
schrijven. zulke opmerkingen zijn altijd zo loos, je weet
niet wat er zou zijn gebeurt als ....
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.