Kritiek lek in Internet Explorer, Mozilla Firefox e.a.
Er is een kritiek spoofing lek in verschillende browsers gevonden dat door kwaadwillende personen misbruikt kan worden om de inhoud van een website te "spoofen". Het probleem is dat een website content in het venster van een andere site kan injecteren als de naam van het venster bekend is. Dit zou bijvoorbeeld gebruikt kunnen worden om de inhoud van een pop-up venster van een betrouwbare website te spoofen. Er is inmiddels een test online verschenen waarin gecontroleerd kan worden of de browser die u gebruikt ook kwetsbaar is.
Het kritieke spoofing lek is aanwezig in:
Er wordt aangeraden om niet tegelijkertijd betrouwbare en onbetrouwbare websites te bezoeken. Meer informatie staat in deze advisory.
Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.5)
Gecko/20041111 Firefox/1.0
Mankeert er soms iets aan een html of andere standaard ofzo?
met frame-injection.
en yup, kijken wie de patchstrijd wint ;)
met een patch komt?
Als je de test van secunia uitvoert kom je op
http://secunia.com/resultpage/ uit.
Als je de pagina's van secunia gesloten hebt, kom je op
http://www.citibank.com/domain/spoof/learn.htm uit.
De moeite waard om dit in de gaten te houden.
Huidige work-around is om andere browser pagina's te sluiten
als je een beveiligde pagina wilt bezoeken.
1.0 + Windows XP Pro SP2
ieder geval ook vulnerable. Draait bij mij op Windows XP, SP2.
Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.7.5)
Gecko/20041107 Firefox/1.0
en het gaat foutloos de juiste citibank-richting uit...
Wordt Firefox 1.x hier niet (bewust?) door het slijk gehaald?
Capricornus
geopend vanaf de secunia site. Als je zelf de citibank
pagina opend, werkt de exploit niet.
Op zich al raar dat je vanaf een 'onbetrouwbare' site links
ziet gaan naar bijvoorbeeld je bank of zo.
Ik zou daar ook echt op klikken (NOT). Daarintegen zijn er
genoeg gasten die het waarschijnlijk wel zullen doen.
iig wel een exploit waar even bij nagedacht moet worden
Het kritieke spoofing lek is aanwezig in:
# Mozilla 1.7.3 en Mozilla Firefox 1.0.
bij citibank. Waarom staat Firefox 1.0 er dan bij??? Volgens
mij is er niet echt goed opgelet.
site uitkomt moet je daar op een logootje klikken van de
citibank. De popup die je dan ziet is van Secunia en niet
van Citibank zoals dat zou moeten.
Getest met Firefox 1.0 op Linux. En idd, de browser is
helaas kwetsbaar.
de exploit werkt ook alleen als de citibank pagina wordt geopend vanaf de
secunia site.
Op zich al raar dat je vanaf een 'onbetrouwbare' site links ziet gaan naar
bijvoorbeeld je bank of zo. Ik zou daar ook echt op klikken (NOT).
venster een 'malicious' site open hebt en in een ander venster je bank-site
opent dan kan die slechte site een pop-up van de bank-site kapen. Op
http://secunia.com/multiple_browsers_window_injection_vulnerability_test/
wordt e.e.a. duidelijk uitgelegd.
Daarintegen zijn er genoeg gasten die het waarschijnlijk wel zullen doen.
tegelijk ook wat porno-sites bezoekt.
iig wel een exploit waar even bij nagedacht moet worden
spoofing lek treedt niet op. Daarvoor gebruik ik de volgende
instellingen:
1. Internet zone op HIGH
2. Norton Internet Security 2005 met popup blokker en reclame
onderdrukking.
Systeem: Windows XP SP1, browser IE 6.028 met alle patches.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
