[NEWS] Firefox: Falla "Resource:" (Sort Of)

[c.m.g]

11 febbraio 2008 alle 22.03



Ronald van den Heetkamp ha reso pubblico giorni fa sul suo blog "The Hacker Webzine" un bug che affligge tutte le versioni del popolare browser Firefox, compresa l'ultima release 2.0.0.12. La vulnerabilità permette ad un eventuale attacker tramite un sito nocivo programmato per lo scopo di accedere in lettura ad i file contenuti nella cartella di installazione di Firefox (per esempio C:\Programmi\Mozilla Firefox). van den Heetkampo ha pubblicato anche un semplice PoC (@MozillaLinks) che si occupa di mostrare il file allprefs.js presente nel computer con Firefox installato.

Questa disclosure è stata inizialmente ed erroneamente associata al precedente problema di "directory traversals" corretto da Mozilla con il rilascio di Firefox 2.0.0.12. Il problema, come spiega lo stesso van den Heetkampo, in un più recente intervento sul suo blog, è limitato invece ad un bug di "information leak" che non permette (per il momento) di accedere a dati personali presenti sul computer dell'utente.

Mike Shaver di Mozilla spiega sul suo blog: "I file per i quali Ronald ha dimostrato la possibilità di accesso non includono le impostazioni dell'utente … i dati utente sono conservati nella gerarchia Program Files su Windows, o nella location equivalente su altri sistemi operativi. Al contrario, i file di preferenze che ha mostrato nel suo exploit sono quelli predefiniti rilasciati con Firefox, e resi liberamente disponibili sul web. Di nuovo, non sono le impostazioni dell'utente … e non includono alcuna informazioni personale". Secondo Asa Dotzler di Mozilla, questo problemanon può neanche essere definito un bug.

Mozilla Links commenta: "Sebbene il bug sa reale, nel senso che Firefox fa qualcosa di non previsto, è difficile dire se questo possa essere realmente chiamato una vulnerabilità di sicurezza dato che nessun dato personale viene conservato nella cartella di installazione, e la cartella del profilo ha un nome unico e random per ciascuna installazione e profilo di Firefox. Inoltre, il protocollo resource: su cui si basa questa vulnerabilità non permette il directory traversal a partire dalla versione 2.0.0.4, quindi è impossibile accedere a file in cartelle simili o in gerarchia precedente".

Bisogna inoltre evidenziare che questo bug è stato inizialmente svelato a Maggio 2007 e discusso sul blog ha.ckers.org.

Nel suo ultimo intervento sull'argomento van den Heetkamp spiega che il protocollo resource: permette di eseguire il "traversing" dalla cartella di Firefox alla cartella Programmi, ma attualmente questo non permette di eseguire alcun attacco. Secondo van den Heetkamp, il problema da lui evidenziato, se non corretto, potrebbe diventare critico dal punto di vista della sicurezza in futuro, quando eventuali attacker potrebbero scoprire e sfruttare altre vulnerabilità in combinazione con questo bug. Secondo van den Heetkamp, un browser non dovrebbe mai consentire la navigazione remota del computer locale.

Link di approfondimento:

The Hacker Webzine
Commento di Shaver
Commento @ Mozilla Links



Fonti: varie via Tweakness

[c.m.g]

articolo correlato su ossblog:

http://www.ossblog.it/post/3760/la-r...n-den-heetkamp