Firefox gaat voorkomen dat gesandboxte iframes externe applicaties starten
Mozilla gaat in een nieuwe versie van Firefox voorkomen dat iframes die zich in een sandbox bevinden protocollen kunnen aanroepen om zo externe applicaties op de desktop of smartphone te starten. Verschillende applicaties maken gebruik van een eigen protocol of url-handler voor het starten van de applicatie via een bepaalde url. Er zijn situaties waarbij iframes dergelijke url's kunnen aanroepen en zo de betreffende applicatie op het systeem van de gebruiker kunnen starten.
Malafide adverteerders zouden hier misbruik van kunnen maken. Firefox maakt gebruik van een sandbox om te beperken wat er via een iframe kan worden gedaan, zoals het voorkomen van pop-ups, het uitvoeren van plug-ins en scripts en het handhaven van de same-origin policy. Het blijkt echter mogelijk om via een gesandboxt iframe externe protocol-handlers aan te roepen.
Mozilla heeft nu besloten om dit door het toevoegen van een patch te voorkomen. "Dit houdt in dat gesandboxte derde partijen niet langer externe applicaties op de desktop of telefoon kunnen openen", zegt Mozillas Niklas Baumgardner. De patch die hiervoor zorgt is toegevoegd aan een vroege testversie van Firefox. Wanneer die in de releaseversie verschijnt is nog onbekend.
Nu kun je een volledig legitieme website bezoeken en op de achtergrond alsnog besmet raken met malware en dat merk je niet eens, Dit kan door bijv. een simpele webhook te gebruiken. Zolang je op de site zit is je systeem volledig onder controle van derden die de hook geplaatst hebben, dit kan dan weer gebruikt worden om een RAT op het systeem te krijgen. Een goede virusscanner kan uitkomst bieden maar alleen als de malware/rat geen op maat gemaakte versleuteling gebruikt., anders merkt die ook niks.
Nu kun je een volledig legitieme website bezoeken en op de achtergrond alsnog besmet raken met malware en dat merk je niet eens, Dit kan door bijv. een simpele webhook te gebruiken. Zolang je op de site zit is je systeem volledig onder controle van derden die de hook geplaatst hebben, dit kan dan weer gebruikt worden om een RAT op het systeem te krijgen. Een goede virusscanner kan uitkomst bieden maar alleen als de malware/rat geen op maat gemaakte versleuteling gebruikt., anders merkt die ook niks.
Wat dat betreft mogen ze blij zijn met Firefox.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
