De Poolse beveiligingsonderzoeker Michael Zalewski heeft weer een fout in Firefox gevonden. Dit keer gaat het om een ontwerpfout die door phishers gebruikt kan worden om gebruikers te misleiden. Via een script is het mogelijk om een 'about:blank' URL in een nieuwe tab van Firefox te openen. Deze tab zal een lege adresbalk hebben, maar het script kan gewoon HTML op deze pagina injecteren.

Volgens Zalewski kan het plaatsen van tekst of HTML in een venster zonder adresbalk de gebruiker verwarren, omdat het dan niet duidelijk is waar de data of beveiligingswaarschuwingen vandaan komen. Een lege adresbalk is minder verdacht dan een dubieuze hostname of URL.

Daarnaast zorgt de ontwerpfout in Mozilla's browser ervoor dat een fix voor een oude User Interface spoofing bug omzeild kan worden. De bug maakte het mogelijk dat als een venster zonder adresbalk en menu's geopend werd, de aanvaller afbeeldingen en HTML controls kon plaatsen, bijvoorbeeld in de vorm van een nep adresbalk die "google.com" liet zien, terwijl een IFRAME daaronder de echte URL toonde. In het geval van 'about:blank' vensters is het nog steeds mogelijk voor een aanvaller om elementen van de browser te spoofen, zonder dat de gebruiker dit doorheeft.

Zalewski maakte de volgende demonstratie waarin de twee aanvallen getoond worden. De onderzoeker waarschuwde eerder deze week voor een Firefox bug waardoor aanvallers cookies kunnen manipuleren.