Onderzoeker ontdekt drie Firefox-lekken
Lekken omslachtig te exploiteren
08 februari 2005 | Lars Pasveer
De Windows-versies van Firefox 1.0 en Mozilla 1.7.5 bevatten drie lekken, stelt een Duitse onderzoeker. Hij geeft op zijn website demonstraties van de geconstateerde problemen.
Veiligheidsexpert Michael Krax noemt zijn ontdekkingen Firedragging, Firetabbing en Fireflashing. De techsite Heise bericht over de details van elk probleem.
Firedragging is een zwakke plek in de controle van bestanden die vanuit de browser naar de desktop gesleept worden. Firefox en Mozilla staan dat alleen toe als het om grafische bestanden gaat. Wanneer het om uitvoerbare data gaat, zoals programmaatjes, resulteert het alleen in een tekstlink op de desktop.
Het blijkt echter dat Firefox en Mozilla niet controleren of een bestand mogelijk hybride is. Zo kan iets in de browser een afbeelding lijken, maar uitvoerbare code opleveren wanneer het naar de desktop wordt gesleept. Kwaadwillenden kunnen zo gevaarlijke code op de computer brengen.
Firetabbing is een manipulatie van de
tabbed browsing functionaliteit in combinatie met javascript. Het uitbuiten van het lek is erg omslachtig (een site moet in een reeds bestaand tabblad worden gesleept) maar kan onder bepaalde omstandigheden leiden tot een herconfiguratie (!) van de browserinstellingen.
Fireflashing draait, zoals de naam doet vermoeden, om de weergave van Flash in Firefox. Door een onzichtbaar frame weer te geven in een Flash-animatie (met daarin de pagina about:config, waar alle browserinstellingen zich bevinden) kan de werking van de browser worden verstoord.
Wie denkt in een leeg veld te hebben geklikt, schakelde in werkelijkheid een parameter om. Ook deze exploitatie is complex, maar niettemin potentieel gevaarlijk.
In de zogenaamde
nightly builds (officieuze versies van software) zijn de problemen verholpen, maar het duurt waarschijnlijk tot Firefox 1.0.1 voordat ze ook officieel tot het verleden behoren. Wanneer deze versie uitkomt, is momenteel nog niet bekend.
Lees meer artikels over :
firefox, mozilla, lek, browser
bron: ZDNet
08/02/2005
