Spoofing de URI en Mozilla, Firefox y Thunderbird

VSantivirus No. 1712 Año 9, martes 15 de marzo de 2005

Spoofing de URI en Mozilla, Firefox y Thunderbird
http://www.vsantivirus.com/vul-bugtraq-12798.htm

Por Angela Ruiz
angela@videosoft.net.uy

Se ha reportado que Mozilla Suite, Firefox y Thunderbird, son propensos a una debilidad que permite engañar (spoofing) al usuario sobre la verdadera URI cuando se utiliza la opción "Save Link as..." (Grabar enlace como...), invocada desde un enlace HTML malicioso.

URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario @ dominio, etc.). Un URL (Uniform Resource Locators), es un URI que muestra la localización explícita de un recurso (página, imagen, etc.).

Este problema puede ser aprovechado por un atacante para mostrar información falsa en la barra de estado. Un usuario confiado, puede ser engañado al descargar archivos cuyo origen podría parecer un sitio de confianza, cuando se trata de código o enlaces maliciosos a sitios dudosos. Esto puede facilitar ataques basados en una falsa sensación de confianza.

Se ha publicado el siguiente código como prueba de concepto:

<h1>Firefox 1.01 : spoofing status bar without using JavaScript</h1>
<p>Save the New Features about Firefox 1.02 ( PDF 20K )</p>
<p>Right Click and Save Link as ...<p>
<div>
<a href="http://www.mozilla.org/features_ff102.pdf">
<table><tr><td>
<a href="http://www.tpc.org/tpch/spec/tpch2.1.0.pdf">
download : http://www.mozilla.org/features_ff102.pdf
</a>
</td></tr></table>
</a>
</div>

En el ejemplo, si el usuario acepta la sugerencia de grabar el enlace con el botón derecho, se descargaría un archivo del sitio "www.tpc.org" mientras la víctima creería estar haciéndolo de "www.mozilla.org".

Software vulnerable:

- Mozilla Browser 1.7
- Mozilla Browser 1.7.1
- Mozilla Browser 1.7.2
- Mozilla Browser 1.7.3
- Mozilla Browser 1.7.4
- Mozilla Browser 1.7.5
- Mozilla Browser 1.7.6
- Mozilla Firefox Preview Release
- Mozilla Firefox 0.8
- Mozilla Firefox 0.9 rc
- Mozilla Firefox 0.9
- Mozilla Firefox 0.9.1
- Mozilla Firefox 0.9.2
- Mozilla Firefox 0.9.3
- Mozilla Firefox 0.10
- Mozilla Firefox 0.10.1
- Mozilla Firefox 1.0
- Mozilla Firefox 1.0.1
- Mozilla Thunderbird 0.6
- Mozilla Thunderbird 0.7
- Mozilla Thunderbird 0.7.1
- Mozilla Thunderbird 0.7.2
- Mozilla Thunderbird 0.7.3
- Mozilla Thunderbird 0.8
- Mozilla Thunderbird 0.9
- Mozilla Thunderbird 1.0
- Mozilla Thunderbird 1.0.1

Soluciones:

No se conocen soluciones al momento de la publicación de este aviso.

Créditos:

bitlance winter [bitlance_3@hotmail.com]

Referencias:

Identificado en BugTraq como ID 12798

Mozilla Suite/Firefox/Thunderbird Nested Anchor Tag Status Bar Spoofing Weakness
http://www.securityfocus.com/bid/12798/

Mozilla Firefox Home Page (Mozilla)
http://www.mozilla.org/products/firefox/

Mozilla Homepage (Mozilla)
http://www.mozilla.org/

Thunderbird Home Page (Mozilla)
http://www.mozilla.org/products/thunderbird/

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com