Mozilla vulnerable a ataques del tipo "Cross-Domain"

Mozilla vulnerable a ataques del tipo "Cross-Domain"
	VSantivirus No. 1329 Año 8, jueves 26 de febrero de 2004 Mozilla vulnerable a ataques del tipo "Cross-Domain" http://www.vsantivirus.com/vul-mozilla-xd.htm Por Marcelo A. Rodriguez marcelo-ar@videosoft.net.uy Mozilla Suite es un conjunto de aplicaciones que incluye Navegador Web, Gestor de correo, Editor HTML y cliente de Chat/IRC. Mozilla es un navegador gratuito y de código abierto incluido en la suite Mozilla. Andreas Sandblad descubrió una vulnerabilidad del tipo Cross-Domain (XD), que afecta a este navegador. Una vulnerabilidad "Cross-Domain" (dominio cruzado), permite que cierto código en un determinado dominio, pueda ser accedido en un dominio diferente, con privilegios similares a los asignados en la primer zona, la que puede ser un sitio remoto. Esto significa que desde una ventana abierta en un determinado dominio se puedan ejecutar físicamente acciones en otra ventana que está en un dominio diferente. Sumario: Al establecerse un enlace hacia una nueva página, aún es posible interactuar con la página vieja antes que la nueva haya sido exitosamente cargada (a esto se le llama un documento "zombie"). Cualquiera de los eventos javascript lanzados, serán invocados en el contexto de la nueva página, haciendo posible un "Cross Site Scripting" (ejecución de un script de una página en otra), si las páginas pertenecen a distintos dominios. Historia: 02-12-2003: Mozilla Security Team fue contactado. http://bugzilla.mozilla.org/show_bug.cgi?id=227417 03-12-2003: Solucionado. Detalles: Mozilla tiene varias capas de seguridad para prevenir la explotación de documentos "zombie". Pero más importante aún, el origen de todo el código javascript es chequeado antes de ser ejecutado. El problema ocurre con los "event handlers" (manejadores de eventos), utilizados en TAGS (códigos de formateo utilizados en documentos HTML que dan instrucciones al navegador sobre la presentación de texto y de gráficos en una página web). Aunque se hacen algunos intentos para deshabilitarlos, pueden ser fácilmente traspasados. "Event Handler" es un código que se ejecuta como respuesta a ciertos eventos. En páginas web, los eventos son usualmente acciones del usuario, como mover el mouse, escribir, etc. El truco consiste en llenar el documento corriente con tantos "event handlers" como sea posible y luego redireccionarlo a una nueva página. Si el "event handler" es invocado en el momento correcto, será ejecutado en el contexto de la nueva página, y por ende, hará posible el "Cross Site Scripting". Este fallo ya fue corregido en la versión 1.6 de Mozilla: http://www.mozilla.org/releases/mozilla1.6/changelog.html Descubierto y reportado a Bugzilla por: Andreas Sandblad Publicado en: http://www.securityfocus.com/archive/1/355233 Descarga de Mozilla 1.6 (última versión estable): http://www.mozilla.org/releases/#1.6 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com