Spoofing de ventanas en Mozilla, Netscape y Firefox Los navegadores Mozilla, Firefox y Netscape, poseen una vulnerabilidad que permite ocultar los cuadros de diálogo con ventanas emergentes (pop-ups), facilitando las técnicas de spoofing (engaño).
Las ventanas de descarga o de advertencias de seguridad, pueden ocultarse si se utiliza JavaScript para crear una ventana pop-up que se coloca sobre la ventana de diálogo original.
Esto puede inducir a un usuario a confiarse en una ventana engañosa, y a realizar una acción adicional basada en un falso sentido de seguridad.
El asunto afecta a todas las versiones de Windows de estos productos (al 14/1/05).
Existen dos pruebas de concepto (PoC) que demuestran el problema. Aunque dichas pruebas están diseñadas específicamente para Firefox 1.0 para Windows, con la ventana maximizada, y preparadas para una configuración estándar, el código puede adaptarse para que el engaño sea más sofisticado, con cualquier configuración.
En VSAntivirus probamos todos los navegadores mencionados en sus últimas versiones (Mozilla, Firefox y Netscape), además del Internet Explorer y Opera.
En una de las pruebas, tanto en Mozilla, como en Firefox y Netscape, se puede hacer que se ejecute automáticamente el programa HyperTerminal de Windows, sin ninguna advertencia para el usuario.
Internet Explorer (XP SP2) y Opera muestran una ventana de diálogo en donde se indica que se va a descargar un archivo y se pregunta si se desea abrir con el programa asociado (HyperTerminal), o solo descargar.
Las pruebas de concepto están disponibles en el siguiente enlace:
http://www.mikx.de/firespoofing/ Recordemos que estas pruebas, por razones de seguridad, no son completas ni demasiado sofisticadas. Además, se deben dar ciertas condiciones para que el engaño sea perfecto (además de estar preparadas solo para Firefox), aunque en VSAntivirus pudimos comprobar que unas pocas modificaciones pueden hacer que funcione bajo casi cualquier configuración y tamaño de ventana.
Cómo indica el descubridor del fallo (y autor de las pruebas de concepto), en esta demostración limitada, el engaño no es perfecto, ya que de forma premeditada no se pretende crear un exploit que luego sea usado por cualquier persona de forma maliciosa.
De todos modos, se logra que con un solo clic se abra el HyperTerminal de Windows, sin que aparezca de forma clara el permiso de ejecución. Aunque en este caso concreto no hay ningún peligro, recordemos que existe una vulnerabilidad (corregida el 15 de diciembre de 2004 por Microsoft), que permite la ejecución remota de código en el componente HyperTerminal (ver "MS04-043 Ejecución remota en HyperTerminal (873339)",
http://www.vsantivirus.com/vulms04-043.htm)
La segunda prueba requiere tener habilitada la opción "signed.applets.codebase_principal_support", no activa por defecto. Si está habilitada, se crea el archivo C:\BOOOM.TXT como prueba de que se puede acceder al sistema.
El fallo fue reportado en setiembre de 2004, y aún no ha sido solucionado. El descubridor critica la falta de respuesta, a pesar de haber sido reportado correctamente en su momento, a través de Bugzilla, y confirmado por Mozilla.org.
Solución
No existe ninguna solución oficial a este problema.
Una solución alternativa podría ser la siguiente:
1. Ingrese "about:config" (y pulse Enter) en la barra de direcciones de Mozilla y Mozilla Firefox. Esto mostrará los valores de configuración.
2. Configure el siguiente valor como verdadero (true), dando doble clic en la línea correspondiente:
dom.disable_window_flip Software afectado:
- Firefox 1.0
- Mozilla 1.7.5
- Netscape 7.2
Todos ellos bajo Windows.
Créditos:
Michael Krax <mikx at mikx.de>
Referencias:
2005/01/11 - Firespoofing
http://www.mikx.de/?p=7Relacionados:
Mozilla permite deshabilitar elementos via JavaScript
http://www.vsantivirus.com/vul-mozilla-171204.htmEncubrimiento de dirección real en Mozilla y Firefox
http://www.vsantivirus.com/vul-mozilla-firefox-050105.htmVulnerabilidad que provoca fallo en productos Mozilla
http://www.vsantivirus.com/vul-mozilla-071204.htmGraves vulnerabilidades en Netscape 7.x
http://www.vsantivirus.com/vul-netscape-160904.htmInyección de ventanas en Mozilla y Mozilla Firefox
http://www.vsantivirus.com/vul-mozilla-inyecc-081204.htmVulnerabilidad con imágenes XBM en Mozilla
http://www.vsantivirus.com/vul-mozilla-xbm-070105.htmMúltiples vulnerabilidades en Mozilla Firefox
http://www.vsantivirus.com/vul-firefox-101104.htmInyección de ventanas en Netscape 7.x
http://www.vsantivirus.com/vul-netscape-inyecc-081204.htmPublicado en:
http://www.vsantivirus.com/vul-mozilla-netscape-140105.htm
