Autor Tema: Spoofing De Cuadro De Diálogo (Leído 933 veces)

RadicalEd · « **en:** Viernes 24 de Junio de 2005, 17:25 »

Secunia Research ha descubierto una vulnerabilidad que afecta a varios navegadores, la cuál puede ser explotada por sitios maliciosos para engañar al usuario (spoofing), sobre el origen de ventanas de diálogo usadas para el ingreso de información.

El problema ocurre porque las ventanas de diálogo en Javascript no muestran su origen (dirección), permitiendo que una nueva ventana abra un cuadro de diálogo para ingresar cierta información (una contraseña por ejemplo), que aparecerá sobre el sitio verdadero como desplegada por dicho sitio, pero cuyo contenido será enviado a un sitio malicioso.

http://secunia.com/multiple_browsers_dialo...erability_test/

Para ejecutar la prueba, haga clic en el enlace "Test Now - Left Click On This Link" de dicha página.

La demostración abrirá el sitio de Google.com. Después de unos segundos, un cuadro de diálogo será mostrado encima de Google.com. Si el cuadro de diálogo no muestra su origen (o sea, no se indica que está generado por Secunia.com), su navegador es vulnerable.

Software vulnerable:

- Camino 0.x
- Mozilla 1.7.x
- Mozilla Firefox 0.x
- Mozilla Firefox 1.x
- iCab 2.x
- Safari 1.x
- Opera 7.x
- Opera 8.x
- Microsoft Internet Explorer 6.x
- Internet Explorer 5.x for Mac

Software NO vulnerable

- iCab 3.0 beta
- Opera 8.01

NOTA: En el Internet Explorer si se utiliza la configuración indicada en "Configuración personalizada para hacer más seguro el IE", http://www.vsantivirus.com/faq-sitios-confianza.htm, no se abrirá el cuadro de diálogo hasta que el sitio malicioso se encuentre marcado como sitio de confianza, minimizando por lo tanto el problema. Es decir, en el ejemplo citado, si el sitio Secunia.com no se encuentra en la lista de sitios de confianza, no se abrirá ningún cuadro de diálogo, aún cuando google.com sea un sitio de confianza.

Más información:

Mozilla / Firefox / Camino Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15489/

iCab Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15477/

Safari Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15474/

Opera Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15488/

Microsoft Internet Explorer Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15491/

Internet Explorer for Mac Dialog Origin Spoofing Vulnerability
http://secunia.com/advisories/15492/

Multiple Browsers Dialog Origin Vulnerability Test
http://secunia.com/multiple_browsers_dialo...erability_test/

Microsoft Security Advisory (902333)
http://www.microsoft.com/technet/security/...ory/902333.mspx

SoloCodigo

Autor Tema: Spoofing De Cuadro De Diálogo (Leído 933 veces)

RadicalEd

Spoofing De Cuadro De Diálogo