lunes, 29 de octubre de 2012

Vulnerabilidades en productos Mozilla


Se han publicado tres vulnerabilidades en productos Mozilla relacionadas con el objeto 'Location' que podrían permitir a un atacante remoto realizar ataques Cross-Site Scripting o evadir restricciones de seguridad. Afectan a al navegador Firefox, al gestor de correo Thunderbird y la suite SeaMonkey.

Mozilla ha publicado un boletín de seguridad de carácter crítico alertando de tres vulnerabilidades en sus productos estrellas Firefox, Thunderbird y SeaMonkey.

La primera de ellas ha sido descubierta por Mariusz Mlynski e identificada como CVE-2012-4194. Se trata de un error a la hora de proteger el valor del objeto 'window.location' que podría ser simulado mediante el método 'valueOf' y utilizarse para realizar ataques Cross-Site Scripting (XSS) de forma remota. Thunderbird solo se vería afectado a través de RSS y complementos que carguen contenido web.

La vulnerabilidad con CVE-2012-4195 ha sido descubierta por 'moz_bug_r_a4' y se basa en un error en la función 'CheckURL' en 'window.location' al no determinar correctamente el documento llamado en los valores de retorno. Esto podría ser aprovechado para realizar ataques XSS y ejecutar código HTML y Javascript arbitrario en el navegador de un usuario.

Por último, Antoine Delignat-Lavaud del equipo de investigación Prosecco descubrió cómo eludir las protecciones de seguridad 'Same Origin' y acceder al objeto 'Location' usando un ataque de inyección de propiedades. A esta vulnerabilidad se le ha asignado el identificador CVE-2012-4196.

Estos errores han sido corregidos en las versiones 16.0.2 de Firefox y Thunderbird, y en SeaMonkey 2.13.2. Es posible descargar estas versiones desde la página oficial y el FTP de Mozilla.

Más información:

Mozilla Foundation Security Advisory 2012-90 - Fixes for Location
object issues

Location can be spoofed using valueOf

nsLocation::CheckURL can use the wrong principal

More cross origin location access problems



Juan José Ruiz

1 comentario: