Брешь в Firefox позволяет красть пароли
24th Ноябрь 2006
24 ноября 2006 года, 13:58
Текст: Владимир Парамонов
В браузере Firefox обнаружена уязвимость, которая теоретически может быть использована злоумышленниками с целью кражи конфиденциальных данных.
Как отмечает компания Chapin Information Services, проблема связана с особенностями работы менеджера паролей Firefox. Эксплуатируя дыру, нападающий может похитить имя и пароль жертвы при автоматическом заполнении формы в блоге или форуме. Причем
пользователь может даже не подозревать, что эта информация попала в чужие руки, поскольку находится на известном и часто посещаемом ресурсе.
Роберт Чапин, президент Chapin Information Services, подчеркивает, что менеджер паролей Firefox недостаточно тщательно проверяет, куда отправляются конфиденциальные данные. В итоге ответ на запрос, сделанный одним сервером, может быть отослан совершенно другому серверу, доступ к которому имеют злоумышленники. Атака может быть осуществлена через сервисы ведения блогов, форумы, социальные сети и другие службы, пользователи которых могут размещать HTML-код. Кстати, подобная схемы незаконного получения паролей уже была задействована киберпреступниками в социальной сети MySpace.
Чапин также отмечает, что проблема с менеджером паролей актуальна и для Internet Explorer. Однако в случае с IE дыра представляет меньшую опасность, поскольку браузер Microsoft более тщательно проверяет источник заполняемой формы.
Брешь в Firefox охарактеризована критически опасной, способов ее устранения пока не существует. В качестве временной защитной меры эксперты по вопросам безопасности рекомендуют отключить функцию автоматического сохранения паролей для веб-сайтов.