Múltiples vulnerabilidades en Mozilla y Firefox (5/05)

Múltiples vulnerabilidades en Mozilla y Firefox (5/05)
	VSantivirus No. 1771 Año 9, viernes 13 de mayo de 2005 Múltiples vulnerabilidades en Mozilla y Firefox (5/05) http://www.vsantivirus.com/vul-mozilla-120505.htm Por Angela Ruiz angela@videosoft.net.uy Mozilla Suite y Mozilla Firefox, son afectados por múltiples vulnerabilidades explotables en forma remota. Para resolver las mismas, se han publicado las versiones Mozilla Suite 1.7.8 y Firefox 1.0.4. La mayoría de estas vulnerabilidades pueden ser utilizadas para la ejecución remota de código, o para eludir las políticas de acceso y escalar privilegios. También habilitan la ejecución de scripts (archivos de comandos), en ventanas pertenecientes a diferentes dominios (cross-site scripting). Un atacante puede obtener ventajas de estos fallos para ejecutar código en el equipo afectado, con los privilegios del usuario actualmente conectado. Estas vulnerabilidades también permiten a un atacante robar cookies, o acceder a otra información confidencial. * Ejecución vía javascript (IconURL) Referencia: Mozilla Foundation Security Advisory 2005-42 Dos vulnerabilidades encontradas en Mozilla Firefox 1.0.3, pueden ser combinadas para permitir que un atacante ejecute código de forma arbitraria. Mozilla Suite 1.7.7 también es afectado pero de forma parcial. La vulnerabilidad en la ventana de diálogo para confirmar una instalación, permite a un atacante introducir un código javascript en las propiedades de un URL, valiéndose de un error de validación en el parámetro "iconURL" en la función "InstallTrigger.install()", la cuál es llamada cuando se instalan extensiones (extension/theme add-ons). Esto puede ser explotado por una página web o un correo electrónico malicioso, para eludir las restricciones de seguridad e inyectar código JavaScript en el contexto de un archivo "chrome" (este tipo de archivo contiene todas las partes de la interfase de usuario que se encuentran fuera del contenido del área de la ventana, es decir barras de herramientas, menús, barras de progreso y títulos de las ventanas). Por defecto solo el sitio de Mozilla Update tiene permitido intentar instalar software, pero los usuarios pueden habilitar otros sitios para que también lo hagan. El segundo error en Firefox 1.0.3 y Mozilla Suite 1.7.7, permite a usuarios maliciosos ejecutar un ataque del tipo "Cross-Site-Scripting", al ser posible inyectar código en un marco (o frame) de una página Web, en el contexto de direcciones ya visitadas y en una etiqueta "IFRAME" (etiqueta que normalmente permite la inclusión de páginas o documentos dentro de otras páginas, ya sean del mismo dominio o no). Esto puede ser explotado para ejecutar un script dentro de código HTML, en la sesión del usuario actual, y robar cookies u otra información confidencial. Un sitio web construido maliciosamente, puede eludir las restricciones para ejecutar scripts (archivos de comandos), en ventanas pertenecientes a diferentes dominios. Esto es válido para cualquier sitio web o para un archivo local. Esta vulnerabilidad puede ser combinada con la primera para ejecutar cualquier otra clase de código. El sitio de actualizaciones de Mozilla, ha sido modificado para prevenir ser utilizado en esta clase de ataque. Sin embargo, como ya dijimos, el usuario puede habilitar otros sitios, aunque se requiere cierta interacción de su parte para ello. * Eludir controles de seguridad (javascript) Referencia: Mozilla Foundation Security Advisory 2005-43 Algunos controles de seguridad creados para prevenir la inyección de código son incorrectos, y podrían ser eludidos envolviendo un url "javascript:" en el seudo protocolo "view-source:". Una variante del "favicon exploit" de Michael Krax, todavía podría utilizarse para ejecutar código de forma arbitraria, y la misma técnica se podría emplear para ataques del tipo "Cross-Site-Scripting". Georgi Guninski y L. David Baron, también demostraron fallos similares o relacionados con esta vulnerabilidad. * Escalada de privilegios (non-DOM) Referencia: Mozilla Foundation Security Advisory 2005-44 Se agregaron controles adicionales para asegurar que código y objetos script, se ejecuten con los privilegios del contexto en que fueron creados, y no con los del contexto potencialmente superior al que llaman. Software vulnerable: - Mozilla Browser 1.0 RC2 - Mozilla Browser 1.0 RC1 - Mozilla Browser 1.0 - Mozilla Browser 1.0.1 - Mozilla Browser 1.0.2 - Mozilla Browser 1.1 Beta - Mozilla Browser 1.1 Alpha - Mozilla Browser 1.1 - Mozilla Browser 1.2 Beta - Mozilla Browser 1.2 Alpha - Mozilla Browser 1.2 - Mozilla Browser 1.2.1 - Mozilla Browser 1.3 - Mozilla Browser 1.3.1 - Mozilla Browser 1.4 b - Mozilla Browser 1.4 a - Mozilla Browser 1.4 - Mozilla Browser 1.4.1 - Mozilla Browser 1.4.2 - Mozilla Browser 1.4.4 - Mozilla Browser 1.5 - Mozilla Browser 1.5.1 - Mozilla Browser 1.6 - Mozilla Browser 1.7 rc3 - Mozilla Browser 1.7 rc2 - Mozilla Browser 1.7 rc1 - Mozilla Browser 1.7 beta - Mozilla Browser 1.7 alpha - Mozilla Browser 1.7 - Mozilla Browser 1.7.1 - Mozilla Browser 1.7.2 - Mozilla Browser 1.7.3 - Mozilla Browser 1.7.4 - Mozilla Browser 1.7.5 - Mozilla Browser 1.7.6 - Mozilla Browser 1.7.7 - Mozilla Firefox 0.8 - Mozilla Firefox 0.9 rc - Mozilla Firefox 0.9 - Mozilla Firefox 0.9.1 - Mozilla Firefox 0.9.2 - Mozilla Firefox 0.9.3 - Mozilla Firefox 0.10 - Mozilla Firefox 0.10.1 - Mozilla Firefox 1.0 - Mozilla Firefox 1.0.1 - Mozilla Firefox 1.0.2 - Mozilla Firefox 1.0.3 Software NO vulnerable: - Mozilla Browser 1.7.8 - Mozilla Firefox 1.0.4 Solución Actualizarse a las versiones no vulnerables, desde los siguientes enlaces: Mozilla Browser Suite 1.7.8 o superior http://www.mozilla-europe.org/es/products/mozilla1x/ Mozilla Firefox 1.0.4 o superior http://www.mozilla-europe.org/es/products/ Sugerencias: Se recomienda deshabilitar JavaScript, y remover la opción "Permitir que los sitios web instalen software": - En Firefox, seleccionar el menú de Herramientas, Opciones, Características Web (Web Features), desmarcar la casilla "Habilitar JavaScript" (Enable JavaScript). - En Firefox, seleccionar el menú de Herramientas, Opciones, Características Web (Web Features). Hacer clic en "Sitios permitidos" (Allowed Sites) al costado de "Permitir que los sitios web instalen software" (Allow web sites to install software). Hacer clic en "Remover todos los sitios" (Remove All Sites). NOTA: Tenga en cuenta que puede no existir aún la versión en español. En esos casos, o instale la versión en inglés disponible, o siga las sugerencias indicadas antes. Créditos: Paul (Greyhats) Michael Krax, Georgi Guninski, L. David Baron moz_bug_r_a4 Referencias Mozilla Foundation Security Advisory 2005-42 Title: Code execution via javascript: IconURL http://www.mozilla.org/security/announce/mfsa2005-42.html Mozilla Foundation Security Advisory 2005-43 Title: "Wrapped" javascript: urls bypass security checks http://www.mozilla.org/security/announce/mfsa2005-43.html Mozilla Foundation Security Advisory 2005-44 Title: Privilege escalation via non-DOM property overrides http://www.mozilla.org/security/announce/mfsa2005-44.html Relacionados Firefox http://www.mozilla.org/products/firefox/ http://www.mozilla-europe.org/es/products/firefox/ Mozilla Suite http://www.mozilla.org/products/mozilla1.x/ http://www.mozilla-europe.org/es/products/mozilla1x/ Más información: Ejecución de código en Mozilla con etiqueta IFRAME http://www.vsantivirus.com/vul-mozilla-090505.htm Ejecución remota de código en Firefox 1.0.3 http://www.vsantivirus.com/vul-firefox-070505.htm Grave vulnerabilidad en extensiones de Mozilla Firefox http://www.vsantivirus.com/vul-firefox-080505.htm Firefox 1.0.4 corrige importantes vulnerabilidades http://www.vsantivirus.com/firefox-104.htm Mozilla Suite 1.7.8 corrige graves vulnerabilidades http://www.vsantivirus.com/mozilla-178.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com