Luka w Firefoksie obejmuje użytkowników Gmail
14 listopada 2007, agresor
W ostatnim tygodniu wiele firm na całym świecie zwróciło uwagę, na podatność przeglądarki Mozilla Firefox, która umożliwiała napastnikom użycia spreparowanego pliku JAR (ang. Java ARchive – archiwum ZIP używane strukturalizacji i kompresji plików klas języka Java oraz powiązanych z nimi metadanych) w celu przejęcia wrażliwych danych z atakowanych komputerów. Luka pozwalająca na ten atak niestety nadal istnieje, a co gorsza, pozwala na wykorzystanie jej w coraz większej ilości stron Internetowych, w tym giganta — wyszukiwarki Google. Portal GnuCitizen napisał, że sprawą zainteresował się Michał Zalewski, aktualnie pracujący w Googleplex, prosząc o dodatkowe informacje na temat wykorzystania tej luki. Na portalu beford.org możemy przeczytać na temat sposobu w jaki luka może zostać wykorzystana w celu przejęcia listy kontaktowej Gmail.
Jednym ze sposobów pozostania bezpiecznym od tej luki (wykluczając tymczasową możliwość korzystania z innej przeglądarki) jest dodanie do Firefoksa rozszerzenia noszącego nazwę: NoScript, które zostało zaktualizowane by skutecznie bronić przed tą luką. Działanie rozszerzenia polega na możliwości wyłączenia wykonywania skryptów na określonych stronach.
No to NoScript zainstalowany. Dzięki za bardzo dobrego, informacyjnego niusa. Oby więcej takich!
Ja z kolei tępy jestem (albo zmęczony po robocie) i nie rozumiem.
Google ma zainfekowany kod? Czy GMail jako taki może zostać zainfekowany? Czy to chodzi o spreparowane załączniki?
No Script odpada, bo nie działają mi strony na których urzęduję a tzw. podejrzanych stron nie przeglądam…
Sam autor splojta zastanawia się, kto pierwszy rozwiąże ten błąd: “Google, które posiada problem w rozwiązaniach otwartych przekierowań, czy Mozilla Corp. która nie potrafiła zająć się wcześniej tym problemem.”
TO jest serwis, który może zostać wykorzystany jako jedna ze współrzędnych wektora ataku, druga to na przykład serwis tnij.pl
no-script pozwala na włączenie/wyłączenie java-scriptu zależnie od adresu www z którego pochodzi, nawet jeśli jakaś strona ładuje skrypty z różnych miejsc, to możesz sobie wybrać, do których adresów masz zaufanie, a do których nie
Mam wrażenie, że pliki JAR o których mowa zawierają kod JavaScript a nie Java.
A poza tym, lcamtuf w Googleplex, no no.
A ja widzę jeszcze prostsze rozwiązanie: używać Opery!
Firefox nawet się do niej nie umywa…