HARD CORE SECURITY LAB

Ukazały się informacje o nowej luce odkrytej w przeglądarkach Mozilla Firefox 3.6 oraz Opera 10.10. Odkrywca luki opublikował również odpowiedni exploit, pozwalający na zdalne zakłócenie pracy tych dwóch popularnych przeglądarek internetowych. Z punktu widzenia końcowego użytkownika, atak powoduje nieodwracalną utratę kontroli nad przeglądarką (ang. Denial of Service) oraz potencjalną utratę danych edytowanych w trybie online. Jak zwykle przygotowałem przykład PoC, pozwalający na własnoręczne przetestowanie własnego oprogramowania.

Asheesh kumar Mani Tripathi odkrył w Firefoksie 3.6 oraz Operze 10.10 błąd obecny w funkcji document.write(). Luka pozwala intruzowi na zdalne wymuszenie (poprzez zwabienie użytkownika na specjalnie spreparowaną stronę internetową) awaryjnego zakończenie pracy samej przeglądarki. Przygotowany przez HCSL, przykładowy exploit Proof of Concept można pobrać pod tym adresem. Uwaga! Ta specjalnie spreparowana strona internetowa, po jej otwarciu w przeglądarce Firefox 3.6 lub Opera, spowoduje po kilku sekundach awarię programu.

Warto przy okazji przypomnieć, że Asheesh opublikował niedawno kilka innych exploitów, wykorzystujących inne odkryte przez niego luki w Internet Explorerze 8 oraz Firefoksie 3.6.

Mamy więc kolejny dowód na to, że niezależnie od rodzaju używanej przeglądarki internetowej, nigdy nie możemy liczyć na w pełni stabilną oraz bezpieczną pracę. Warto również zauważyć, że przed powyższym zagrożeniem może nas ustrzec popularny dodatek NoScript.

[źródło]