|
دو كد نفوذ براي حفره هاي
Firefox
9 مه 2005 - 19 ارديبهشت 1384
دو حفره در مرورگر
Firefox
بالاترين درجه خطر يعني
extremely critical
را دريافت كرده اند چون كد نفوذ مربوط به آنها در دسترس قرار
گرفته است.
شركت امنيتي
Secunia
كه اين درجه خطر را به اين حفره ها داده است، اعلام كرده كه دو
مشكل
cross-site scripting
و دسترسي به سيستم از راه دور در نسخه 1.0.3 كشف شده اند اما
ساير نسخ نيز ممكن است تحت تاثير اين مشكلات باشند.
هنگامي كه از اين دو حفره امنيتي تركيب شوند، مي توان از آنها
سوء استفاده كرد. البته تا كنون هيچ موردي كه يك هكر از كد
نفوذ منتشر شده استفاده كرده باشد، گزارش نشده است.
يكي از مشكلات شامل نشاني هاي جاوااسكريپت
IFRAME
مي شود كه به خوبي از آنها در برابر اجرا در قالب يك
URL
ديگر در ليست
history
محافظت نشده است. به عبارت ديگر اگر شما به يك سايت خطرناك
برويد،آن سايت مي تواند اطلاعات كوكي سايتهايي را كه پيش از
آن شما ديده ايد، سرقت كند. هكر مي تواند از آن اطلاعات جهت
سرقت شناسه يا دسترسي به سايتهايي كه با كلمات عبور محافظت مي
شوند و كاربر از آنها بازديد كرده، استفاده كند.
مشكل امنيتي دوم در پارامتر
IconURL
در
InstallTrigger.install()
وجود دارد. اطلاعات پاس شده به اين پارامتر پيش از استفاده به
خوبي مورد بررسي قرار نمي گيرند و لذا به يك هكر اجازه مي دهد
تا اختيارات كاربر را به دست آورد.
كاربراني كه از سايتهاي
update.mozilla.org
و
addons.mozilla.org
نرم افزار دريافت و نصب كرده اند در خطر هستند. موزيلا خدمات
به روز رساني تحت وب خود را تغيير داده و از كاربران خواسته
است تا به طور موقت جاوا اسكريپت را غيرفعال كنند. |
