|
|
Fuga de información en credenciales de Firefox
|
| |
VSantivirus No. 1839 Año 9, miércoles 20 de julio de 2005
Fuga de información en credenciales de Firefox
http://www.vsantivirus.com/vul-firefox-200705.htm
Por Angela Ruiz
angela@videosoft.net.uy
Firefox es afectado por una vulnerabilidad que permite el envío de las credenciales de autenticación a través de la red en formato texto plano (o sea, sin ninguna clase de encriptación).
Por defecto, el navegador selecciona la autenticación básica, incluso si otros esquemas de autenticación tales como DIGEST o NTLM están disponibles en el servidor.
Se ha confirmado que Mozilla Firefox 1.0.4 y 1.0.5, ejecutándose bajo Windows, son vulnerables. Otras versiones y plataformas diferentes, también podrían estar afectadas.
Se trata de una vulnerabilidad del tipo "fuga de información", y no existe una forma conocida de explotarla.
Software vulnerable:
- Mozilla Firefox 1.0.4 (confirmado)
- Mozilla Firefox 1.0.5 (confirmado)
- Mozilla Firefox 1.0.6 (probable)
También podrían ser vulnerables versiones anteriores.
Solución:
No se conocen soluciones al problema.
En el momento de publicar este boletín, el vendedor acaba de liberar la versión 1.0.6 de Firefox, sin embargo se ignora si la misma soluciona este problema.
La versión 1.0.6 resuelve algunos problemas de regresión a vulnerabilidades anteriores, y por ello su publicación a pocos días de haberse publicado la 1.0.5. Sin embargo, no se hace referencia alguna a la vulnerabilidad aquí comentada.
Más información:
Firefox 1.0.6 resuelve regresión de versión 1.0.5
http://www.vsantivirus.com/firefox-106.htm
Referencias:
Mozilla Firefox Weak Authentication Mechanism Vulnerability
http://www.securityfocus.com/bid/14325
Mozilla Firefox Home Page (Mozilla)
http://www.mozilla.org/products/firefox/
Mozilla cleartext credentials leak bug report to excuse myself (3APA3A <3APA3A@SECURITY.NNOV.RU>)
http://www.securityfocus.com/archive/1/405666
Mozilla Firefox (sitio en español)
http://www.mozilla-europe.org/es/products/
Créditos:
ZARAZA <3APA3A@SECURITY.NNOV.RU>
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
