Het bericht over het 'obfuscatie-lek' in Firefox dat gisteren op Security.nl en andere media verscheen, had nooit gepubliceerd moeten worden, aldus een bekende beveiligingsonderzoeker. Volgens beveiligingsbedrijf Armorize zat er in de opensource browser een probleem met geobfusceerde URLs die zich in een iframe bevinden. De browser zal in dit geval gebruikers niet waarschuwen als er een andere website wordt geopend dan verwacht. "Dit kan worden gebruikt voor het verspreiden van malware en het stelen van gevoelige informatie", aldus Armorize, dat ook een proof-of-concept online zette.

Beveiligingsonderzoeker Michal Zalewski is verbaasd over alle aandacht die het beveiligingsbedrijf en de zogeheten kwetsbaarheid krijgt. Het gaat namelijk om Mozilla bug 570658. Iedereen die de moeite had genomen om de bugmelding te bekijken, was tot de conclusie gekomen dat het geen probleem betreft. De waarschuwing die Firefox niet geeft is volgens Zalewski ook niet nodig, aangezien de URL in kwestie nooit in de adresbalk verschijnt en dus de gebruiker niet kan verwarren. "Er is geen redelijk aanvalsscenario waar dit voor geldt."

Media
En daar had het verhaal moeten eindigen, aldus de onderzoeker. Toch werd het massaal door de media opgepikt en zag Mozilla zich genoodzaakt om met een uitleg te komen. "De berichten hadden in de eerste plaats nooit mogen verschijnen. Zijn sommige redacteuren werkelijk zo afhankelijk van persberichten, dat het lastig voor ze wordt om berichten te verifiëren, bijvoorbeeld door een onderzoeker even te vragen. Ik heb me dat altijd afgevraagd, maar ik ben bang dat ik het antwoord weet", aldus Zalewski.