Della serie: "quando ne arriva uno poi ne arrivano altri cento", ecco che dopo i bug segnalati nella scorsa settimana si ripresenta di nuovo un problema col password manager interno. La vulnerabilità è molto simile a quella segnalata da Chapin e che affligeva la versione 2.0 del browser di casa Mozilla (risolta nella versione 2.0.03).

Secondo quanto riportato da Heise-Security è difatti possibile, usando del codice javascript, forzare Firefox a completare i campi di login in una pagina ospitata sullo stesso server In altre parole, questo può essere sfruttato in siti come Myspace o similari per creare una pagina per il furto delle credenziali d'accesso all'account.

I siti dove tale vulnerabilità può essere sfruttata sono dunque relativamente pochi, ma occorre fare molta attenzione. . In ogni caso richiedendo codice Javascript per essere attivata è meno grave di quella precedentemente riportata, in quanto l'inserimento di codice Javascript è solitamente bloccato all'interno dei server stessi per ovvi motivi di sicurezza.

La cosa migliore sarebbe quella di non memorizzare mai le password, ma è anche vero che molti non seguono questa sana precauzione preferendo il salvataggio dei dati di autentificazione nel password manager. Io personalmente, è da un po' che utilizzo l'estensione PasswordMaker che permette la creazione di password a partire da un'unica master password, questa soluzione però impone di dover modificare tutte le password utilizzate nei vari siti/forum.

Un'altra ottima soluzione è utilizzare l'estensione Secure Login, che blocca l'autocompletamento dei campi di login e vi dà la possibilità di eseguire l'accesso semplicemente cliccando nell'iconcina sistemata nella barra di stato (od opzionalmente nella barra degli strumenti). L'estensione supporta il multi utente ed è molto comoda, nonchè sicura, se decidete di memorizzare le password nel gestore interno di Firefox.

Qui trovate la pagina con il proof of concept della vulnerabilità.

AGGIORNAMENTO2: nuovi sviluppi ora sembra sia colpa di Windows
MegaLab.it - Il baco negli URI? E' colpa di Windows

Non è colpa né di Firefox né di Internet Explorer. Il problema di sicurezza che tanto sta facendo discutere in questi giorni si trova ancora più in basso, a livello di sistema operativo.

AGGIORNAMENTO: in realtà ci sono stati sviluppi riguardanti il bug dei Firefox URI (che è stato corretto nella versione 2.0.0.5) e che attribuiscono totalmente la responsabilità al browser Mozilla. A questo si aggiunga il fatto che Firefox tiene lo stesso comportamento di IE, rendendo inutile lo stratagemma dell'escaping dei caratteri Potete leggere anche questo post che entra nei dettagli riguardo la registrazione dell'URI handler e di come avviene il passaggio dei dati dall'applicazione chiamante a quella chiamata.

La nuova versione di Firefox sistema, fra gli altri, il bug riguardante il Firefox URI, di cui avevo parlato poco tempo fa, ora però sembra che Firefox non sia l'unica applicazione che può essere sfruttata per eseguire chiamate arbitrarie utilizzando IE come vettore:

However, I can still automatically launch a wide range of external applications from Internet Explorer and provide them with arbitrary command line arguments. AcroRd32.exe (Adobe Acrobat PDF Reader), aim.exe (AOL Instant Messenger), Outlook.exe, msimn.exe (Outlook Express), netmeeting.exe, HelpCtr.exe (Windows Help Center), mirc.exe, Skype.exe, wab.exe (Windows Address Book) and wmplayer.exe (Windows Media Player) - just to name a few

In altre parole usando IE tali applicazioni (e probabilmente non sono le uniche) possono essere richiamate e sfruttate per portare un attacco al vostro computer. Microsoft non ritenendo questo un problema specifico di IE, ma bensì delle applicazioni chiamate, si rifiuta di mettere una pezza facendo in modo che IE gestisca in modo più intelligente le chiamate.

Conclusione: anche se la responsabilità non è di Internet Explorer, utilizzando questo browser (e solamente questo) è possibile sfruttare praticamente tutte le applicazioni installate sul vostro PC per portare a segno un attacco.

Soluzione: non usate Internet Explorer, almeno fino a quando non sarete certi che tutte le applicazioni installate sul vostro PC saranno in grado di rifiutare le chiamate fatte da IE stesso :-P.

Fra l'altro, dando una rapida occhiata alle applicazioni vulnerabili, sembra che microsoft dia pure il cattivo esempio.

Fonte: pseudotecnico blog