K-Otik: matala uhka

Firefoxista löytyi raahausaukkoja

8.2.2005 08:51 Mozilla Firefox -selaimesta on löytynyt kolme html-elementtien raahaustoimintoon (drag and drop) liittyvää haavoittuvuutta. Näiden avulla hyökkääjä voi tehdä cross site scripting -hyökkäyksen tai vakavimmillaan saada tietokoneen hallintaansa.

Haavoittuvuuksien hyödyntäminen edellyttää käyttäjältä toimia, minkä vuoksi tietoturvayhtiö K-Otik luokittelee aukot matalaksi uhaksi.

Suosittele
1 suositus

Kuuntele

Ensimmäinen aukko on saanut nimen "Firedragging". Se mahdollistaa suorittettavien (esim. exe) tiedostojen tekemisen työpöydälle. Käyttäjän on kuitenkin itse siirrettävä kuvaksi naamioitu tiedosto. Normaalisti selain tekee selainikkunasta työpöydälle siirrettävästä suoritettavasta tiedostosta linkin. Haavoittuvuuden avulla työpöydälle siirtyy kuitenkin koko tiedosto.

"Firetabbing" aukkon hyödyntämiseksi käyttäjän on raahattava linkki välilehdestä toiseen. Aukko kiertää selaimen turvaominaisuuden, joka estää skriptien suorittamisen toisen sivuston ikkunassa tai välilehdessä.

Kolmas aukko - "Fireflashing" - mahdollistaa asetusten muokkaamisen "about: config" -ikkunasta. Käyttäjän on tuplaklikattava tiettyä kohtaa selainikkunasta, jotta tämä onnistuisi. Lisäksi esimerkkihyväksikäyttö toimii vain, jos selaimeen on asennettu Flash 7.

Bugzillan raportin mukaan Firedragging-, Firetabbing- ja Fireflashing-aukkoille on saatavissa korjaukset.

Haavoittuvuuksille on julkaistu proof-of-consept-esimerkkikoodit, jotka toimivat Firefox 1.0 -selaimella Windows-ympäristössä. Vastaavia ongelmia on myös Mozilla- ja Netscape-selaimissa.

Jaakko Kuivalainen toimitus@digitoday.fi

Suosittele
1 suositus

Kuuntele

Aiheeseen liittyviä uutisia

Uudemmat

Tietoturvayhtiö harmistui Microsoftin haluttomuudesta korjata IE:n aukkoa 14.2.2006
Samy-mato lisäsi miljoona henkilöä ystävälistaan 18.10.2005
Mozilla palkitsi haavoittuvuuksien löytäjän 2 500 dollarilla 31.3.2005
Mozilla: tietoturvamme rökittää Microsoftin 24.3.2005
Netscape 8 -selaimen betaversio valmistui 4.3.2005
Cert-fi varoittelee Mozillan, Firefoxin ja Thunderbirdin haavoista 1.3.2005
Firefox 1.0.1 poistaa tietoturvaongelmia 25.2.2005
Firefox houkuttaa Yahoota 11.2.2005
Vakoojaohjelmat iskevät nyt Mozilla-selaimiinkin 10.2.2005

Aiemmat

IE:n raahausreiälle tehtiin uusi exploit-koodi 7.2.2005
Microsoft paikkaa ainakin 13 aukkoa 4.2.2005
Firefox vallannut viisi prosenttia selainmarkkinoista 19.1.2005
Paikkaamaton IE-aukko vaarantaa sp2-koneet 10.1.2005
Java-aukko altistaa useimmat selaimet 23.11.2004
Firefoxin täysversio ladattavissa 9.11.2004
Secunia: selainkirjo vuotaa 22.10.2004
Internet Exploreriin jää 15 paikkaamatonta reikää 13.10.2004
Microsoft tukki koko joukon aukkoja 13.10.2004
Sähköpostimainoksien linkeissä vaanii tuplavaara 11.10.2004
Troijalainen livahtaa IE:n avonaisesta aukosta 22.9.2004
Mozillasta löytyi kymmenen aukkoa 15.9.2004
Microsoft ei pidä IE:n raahausaukkoa isona ongelmana 23.8.2004
Mozillasta löydetty neljä uutta haavoittuvuutta 5.8.2004
Mozillla maksaa tietoturva-aukoista 3.8.2004
Mozillasta löytyi Windows-haavoittuvuus 9.7.2004

Mainitut yritykset

Oikotie

Työpaikat

Loput 2310 työpaikkaa Oikotiellä

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!