|
|
Revelación de información en Minimo y Firefox
|
| |
VSantivirus No 2511 Año 11, sábado 4 de agosto de 2007
Revelación de información en Minimo y Firefox
http://www.vsantivirus.com/vul-minimo-firefox-020807.htm
Por Angela Ruiz
angela@videosoft.net.uy
Se ha reportado una vulnerabilidad en "Minimo", el navegador para dispositivos móviles basado en Mozilla. Firefox también sería vulnerable.
Minimo incluye un administrador de contraseñas, que permite al usuario almacenar su nombre de usuario y password de los sitios que visita -y que lo requieren-.
Existen al menos dos maneras de abusar maliciosamente de esta característica.
Una de ellas permite modificar las acciones de cualquier formulario de forma dinámica mediante un código en JavaScript, que puede ser introducido en un sitio web mediante una vulnerabilidad del tipo XSS (CROSS-SITE-SCRIPTING). Este tipo de fallo permite a un atacante introducir en el campo de un formulario o código embebido en una página, un script.
La segunda manera es introduciendo datos en los campos necesarios, sin la intervención del usuario. Como resultado, el fallo XSS puede permitir a un atacante inyectar un formulario invisible en el navegador del usuario, que le permitirá recolectar sus datos de usuario y contraseña, sin ninguna indicación visible para la víctima.
Existen pruebas de concepto que demuestran esta debilidad.
Se recomienda no utilizar el administrador de contraseñas.
Según el informe original, Firefox 2.0.0.6 también es vulnerable a un fallo similar que permite la captura de información sin el conocimiento del usuario.
Esto se ha probado en Minimo .2 ejecutándose en Windows Mobile Pocket PC y en Firefox 2.0.0.6 ejecutándose en Windows XP SP2. Versiones anteriores también pueden ser vulnerables.
Referencias:
Airscanner Mobile Security Advisory #07080102: Minimo <=.2 and Firefox 2.0.0.6
http://airscanner.com/security/07080103_minimo.2.htm
Minimo
http://www.mozilla.org/projects/minimo/
Firefox
http://www.mozilla-europe.org/es/
Créditos:
Seth Fogie (Airscanner Mobile Security)
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
