Disponible la nueva versión 1.0.1 de Firefox que corrige 17
vulnerabilidades de diversa consideración, entre otras el problema
que favorecía los ataques phishing utilizando caracteres
internacionales en el nombre de dominio.
Tal y como anunciamos a principios de mes, el problema se debe a un
error en el tratamiento de IDN (International Domain Name), que
permite el uso de caracteres internacionales en nombres de dominio.
Esta circunstancia puede ser explotada para registrar nombres de
dominio con ciertos caracteres internacionales que se parecen a
otros de uso común, con lo que se puede engañar al usuario.
A efectos prácticos, es posible enlazar con un dominio que tiene
la dirección http://www.payp& #1072;l.com/ y que el usuario
visualice en su navegador la URL http://www.paypal.com/
Este tipo de vulnerabilidades son aprovechadas especialmente por
los ataques phishing, ya que facilita engañar al usuario para que
crea que se encuentra navegando en un sitio web legítimo, cuando
en realidad estará introduciendo sus credenciales en el sitio web
del atacante.
Este problema afectaba, además de a Firefox, a Konqueror, Mozilla,
OmniWeb, Opera, Safari, Netscape. En esta ocasión se libraba
Internet Explorer al no soportar IDN.
La nueva versión Firefox 1.0.1 corrige además otras vulnerabilidades,
hasta un total de 17:
MFSA 2005-29 Internationalized Domain Name (IDN) homograph spoofing
MFSA 2005-28 Unsafe /tmp/plugtmp directory exploitable to erase user’s files
MFSA 2005-27 Plugins can be used to load privileged content
MFSA 2005-26 Cross-site scripting by dropping javascript: link on tab
MFSA 2005-25 Image drag and drop executable spoofing
MFSA 2005-24 HTTP auth prompt tab spoofing
MFSA 2005-23 Download dialog source spoofing
MFSA 2005-22 Download dialog spoofing using Content-Disposition header
MFSA 2005-21 Overwrite arbitrary files downloading .lnk twice
MFSA 2005-20 XSLT can include stylesheets from arbitrary hosts
MFSA 2005-19 Autocomplete data leak
MFSA 2005-18 Memory overwrite in string library
MFSA 2005-17 Install source spoofing with user:pass@host
MFSA 2005-16 Spoofing download and security dialogs with overlapping windows
MFSA 2005-15 Heap overflow possible in UTF8 to Unicode conversion
MFSA 2005-14 SSL «secure site» indicator spoofing
MFSA 2005-13 Window Injection Spoofing
Firefox 1.0.1 está disponible para su descarga en la dirección
http://www.mozilla.org/products/firefox/
bernardo@hispasec.com
Más información:
una-al-dia (06/02/2005) Falsificación de direcciones por problema con IDN en diversos navegadores
http://www.hispasec.com/unaaldia/2297
Deja un comentario