Waarschuwing voor extreem kritieke lekken in Mozilla Firefox
Er zijn twee ernstige problemen ontdekt in alle versies van Firefox, tot en met versie 1.0.3. Het lek stelt een website in staat om de beveiligings-instellingen van Firefox te omzeilen en code uit te voeren op de PC van het slachtoffer. Het eerste probleem is dat "IFRAME" JavaScript URLs niet goed afgeschermd worden, waardoor ze in de context van een andere URL in het history overzicht uitgevoerd kunnen worden. Het tweede probleem ontstaat doordat input naar de "IconURL" parameter in "InstallTrigger.install()" voor gebruik niet goed gecontroleerd wordt. Om de lekken te misbruiken, die aanwezig zijn in Mozilla Firefox 1.0.3 en eerder, moet de kwaadaardige website software via de browser kunnen installeren. Als oplossing wordt aangeraden om JavaScript en de "Allow web sites to install software" optie onder "Tools - Options - Web Features" uit te schakelen. Er is inmiddels exploit code voor het lek beschikbaar. (FrSIRT)
javascript disablen :s hoe moet je nouw je webmail ophalen
bij gmail ? :|
hmmja , ok bij IE is er dagenlijks wel iets aan de hand
"Allow web sites to install software" optie onder "Tools - Options
- Web Features" uit te schakelen.
"
Moet dit bij voorbaat niet gewoon uit staan.
Het is altijd laten vragen of niets.
hoe meer men vindt. En dit is nog maar het begin.
En weer is het bewijs geleverd dat hoe meer mensen
ff gaan gebruiken hoe meer men vindt. En dit is nog
maar het begin.
Is dat een probleem dan? Mozilla lost dit soort problemen
teminste eindeloos veel sneller op dan Microsoft. Het gaat
niet om hoe veel bugs er ergens in zitten, het gaat er om
hoe adequaat deze worden opgelost.
Verder is een lek in MSIE een lek in het OS. Een lek in
Firefox is een lek in een losse applicatie. Dat is nogal een
verschil...
toegang geven om software te installeren right?
quote:Door Anoniem
Misschien wel een bug, maar de gebruiker moet expliciet
toegang geven om software te installeren right?
Nope, gisteravond even de PoC geprobeerd en gaat
automatisch, je hoeft alleen op een willekeurige plek op een
site te clicken. Screenshot van de eerste PoC:
http://www.helpmij.nl/forum/attachm...achmentid=24764
Je clickt dus ergens op de achterliggende site, dan
verschijnt het installatieschermpje en direct daarna (zonder
dat je iets met het installatiescherm doet) verschijnt de
command prompt.
Ik probeer die poc al een tijdje maar wil niet echt eh...
dit initWithPath(\\\'shutdown -s -t 10 -c "ur getting
pwned"\\\')
heb ik replaced. Zou je mischien een PoC die jij editted
hebt kunnen maillen ?
alvast bedankt
m0r1n3x[at]gmail dot com
En weer is het bewijs geleverd dat hoe meer mensen
ff gaan gebruiken hoe meer men vindt. En dit is nog
maar het begin.
Is dat een probleem dan? Mozilla lost dit soort problemen
teminste eindeloos veel sneller op dan Microsoft. Het gaat
niet om hoe veel bugs er ergens in zitten, het gaat er om
hoe adequaat deze worden opgelost.
Verder is een lek in MSIE een lek in het OS. Een lek in
Firefox is een lek in een losse applicatie. Dat is nogal een
verschil...
open staan. Is dus totale onzin dat ze sneller worden opgepakt.
Volgens mij was firefox net zoals ie een applicatie, hangt van hoe erg het
gat is wat de aanvaller kan doen.
Conclusie: je lult uit je nek.
enabled firefox 1.0.3
hoe kan dat?
binary installeren en automatisch executen? Yeah, sure!
idd las het net op security focus maar swel klote om
javascript disablen :s hoe moet je nouw je webmail ophalen
bij gmail ? :|
Nederlandse les van toen je 12 was... "Hoge bomen vangen
veel wind..."
Firefox krijgt meer voet aan de grond en wordt dus
interessant voor eenieder die kwaad wil. IE is al groot en
dus interessant voor eenieder die kwaad wil. Linux wordt
groot en dus interessant voor eenieder die kwaad wil.
Windows is .....
Ach, je begrijpt het vast wel...
Cut the crap! Thanx.
Acumen
interessant voor eenieder die kwaad wil.
Jep! en daar wordt 't alleen maar beter van, want lekken
worden (eenmaal gevonden) ook echt gefixed :).
Apache is bijvoorbeeld ook een `hoge boom', en dat is
ondertussen eerder een kracht dan een zwakte gebleken.
virussen dan IIS...
apache is groot en daardoor ook veel vaker het doelwit van
virussen dan IIS...
ondanks het sterk in de minderheid is. Een aanval op Apache
is dus weinig succesvol.
Die Kloo**akken.
Er is niks aan de Hand,ze willen ons alleen bang maken...
Die Kloo**akken.
als je in de spiegel kijkt zie je er ook een :P
biedt via ActiveX controls rechtstreeks toegang tot het OS,
en dat is iets wat Firefox niet doet.
Dus al is FF nog zo brak, IE is en blijft een veel groter
gevaar.
En dat geldt overigens ook voor de Apache/IIS discussie,
Microsoft bouwt uiteindelijk omgevingen die naadloos te
integreren zijn en heel veel prachtige features bieden, maar
daardoor ook veel eenvoudiger te misbruiken zijn.
Daarmee is nooit gezegd dat Apache of FF clean en veilig
zijn - maar MS zou dit soort zaken moeten sandboxen, niet
continue patchen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
