Lek in IE7 en Firefox geeft aanvallers toegang tot bestanden
Een bijna 7 jaar oud beveiligingslek in Firefox geeft aanvallers toegang tot bestanden op de lokale harde schijf, en niet alleen Mozilla's browser is kwetsbaar. Ook gebruikers van Internet Explorer 7 lopen risico. Het probleem doet zich voor doordat een aanvaller de focus van bepaalde toetsaanslagen kan stelen en gebruiken voor het uploaden van bepaalde bestanden.
Een gebruiker moet dan wel de gewenste letters typen, een zin als "I will never find a date. Thanks to computers and books :" is voldoende om het C:BOOT.INI bestand te uploaden naar een website. De kwetsbaarheid is al in 2000 aan Mozilla’s Bugzilla toegevoegd, maar niemand heeft het probleem opgepakt.
Onderzoeker Petko D. Petkov heeft nu ontdekt dat aan de hand van een zelfde techniek op zowel Unix als Windows gevoelige informatie gestolen kan worden, zoals bijvoorbeeld de informatie uit C:WINDOWSsystem32configSAM op Windows en /etc/passwd op Unix systemen.
Zowel Firefox 1.5.x als 2.0.x zijn kwetsbaar. Een verdere uitleg is in dit artikel te vinden. Het testen van de exploit kan hier voor IE browsers en op deze pagina voor Firefox gebruikers.
Onlangs werd er ook een andere kwestbaarheid in de pop-up blocker van Firefox ontdekt die in sommige gevallen aanvallers toegang tot lokale bestanden geeft.
aan en er gebeurt niets; zonder de No-Script plugin dus
wel... ;)
No-Script Rules !
kunnen zien...
Lekker spannend wel om zoiets als de /etc/passwd in te
kunnen zien...
Tenzij je geen shadow file gebruikt, maar dan doe je wel
iets heeeel erg verkeerd.
Alle moderne distro's, *nixen shadowen hun passwd file. Al
jaren.
Ik probeer het met Mozilla suite en Seamonkey met No-Script
aan en er gebeurt niets; zonder de No-Script plugin dus
wel... ;)
No-Script Rules !
Active-X uitschakelen ook.... al jaren!
Of het bewuste domein toevoegen aan de restricted sites zone van IE. Dat
werkt ook al jaren prima.
database staan!!! Ik zeg Opera!
Ik probeer het met Mozilla suite en Seamonkey met No-Script
aan en er gebeurt niets; zonder de No-Script plugin dus
wel... ;)
No-Script Rules !
Het zelfde weer hier. Ook by de laatste versie van SeaMonkey
werkt dit lek, maar als NoScript aanstaat gebeurt er niets.
Als wordt overgeschakeld naar de IE-tab extensie in SeaMonkey
dan treedt het lek NIET op
Ik probeer het met Mozilla suite en Seamonkey met No-Script
aan en er gebeurt niets; zonder de No-Script plugin dus
wel... ;)
No-Script Rules !
Active-X uitschakelen ook.... al jaren!
Of het bewuste domein toevoegen aan de restricted sites zone
van IE. Dat
werkt ook al jaren prima.
Natuurlijk werkt dat, alleen bepaalde beveiligingsoftware
zoals Virusscanners werken dan ook niet meer, omdat er
scanners bestaan die nogal zwaar op ActiveX
besturingselementen leunen.
(http://lcamtuf.coredump.cx/focusbug/ffversion.html) werkt
pas als ik Javascript voor die site (tijdelijk) toesta. Leuk
keyloggertje maar tikt wel beetje langzaam :)
Ik probeer het met Mozilla suite en Seamonkey met No-Script
aan en er gebeurt niets; zonder de No-Script plugin dus
wel... ;)
No-Script Rules !
Active-X uitschakelen ook.... al jaren!
Of het bewuste domein toevoegen aan de restricted sites zone
van IE. Dat
werkt ook al jaren prima.
Natuurlijk werkt dat, alleen bepaalde beveiligingsoftware
zoals Virusscanners werken dan ook niet meer, omdat er
scanners bestaan die nogal zwaar op ActiveX
besturingselementen leunen.
Lekker spannend wel om zoiets als de /etc/passwd in te
kunnen zien...
In /etc/passwd staat helemaal niets behalve je UID en
login-shell.
Ze bedoelen /etc/shadow, waar je paswoord ge-hashed
in staat.
Dat de auteur dit verschil niet weet geeft te denken of dat
wat in het artikel wordt geclaimt ook daadwerkelijk mogelijk
is onder *nix.
Of gewoon zorgen dat je niet standaard onder een admin account werkt!
Te lief! XD
alfa status. Zie
http://www.mozilla.org/projects/firefox/3.0a2/releasenotes/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
