Een beveiligingslek in Mozilla Firefox maakt het mogelijk voor aanvallers om toegang tot LinkedIn-accounts van anderen te krijgen. Het probleem wordt User Interface redress genoemd, maar staat beter bekend als Clickjacking. Het slachtoffer wordt verleid om een kwaadaardige HTML-pagina te bezoeken, die twee iframes bevat. Eén van de kwetsbare pagina waar de gevoelige gegevens zich bevinden.

De andere pagina is die van de aanvaller, waar de gestolen content op wordt bewaard. Volgens Luca De Fulgentis, die zijn aanval 'iframe-to-iframe cross-domain extraction method' noemt, kan Firefox de aanval niet voorkomen.

Een soortgelijke aanval waarbij de aanvaller 'drag & drop' gebruikt om gevoelige content te stelen werd onlangs nog door Mozilla gepatcht. De tactiek die De Fulgentis nu toepast blijkt in Firefox 17.0.1 te werken. Google Chrome is niet kwetsbaar voor de aanval.

LinkedIn
Een aanval die onder andere op zakelijke sociale netwerksite LinkedIn is te gebruiken. LinkedIn gebruikt een stateless mechanisme om Cross-site request forgery (CSRF) te voorkomen. Bij CSRF kan de aanvaller de browser van de gebruiker een pagina laten opvragen of acties laten uitvoeren, zonder dat de gebruiker dit weet of dat de website doorheeft dat de aanvraag niet van de legitieme gebruiker afkomstig is.

In het geval van LinkedIn worden tokens aan de HTTP-verzoeken gekoppeld die voor een verandering van de applicatie kunnen zorgen, zoals een update van het gebruikersprofiel. Een stateless anti-CSRF methode is meestal gebaseerd op een geheim token.

De iframe-to-iframe methode is te gebruiken om een geauthenticeerde LinkedIn-gebruiker aan te vallen en zijn geheime token te stelen en vervolgens verschillende kwaadaardige acties op het profiel van het slachtoffer te laten uitvoeren, waaronder het toevoegen van e-mailadressen en resetten van wachtwoorden. Zo is het mogelijk een account te kapen door eerst een e-mailadres toe te voegen en vervolgens hier een wachtwoord-reset naar toe te laten sturen.

De Fulgentis zou het probleem inmiddels bij LinkedIn hebben gerapporteerd, maar heeft nog geen terugkoppeling ontvangen dat het ook is opgelost. Als oplossing biedt de onderzoeker zelf verschillende mogelijkheden aan.