В браузере Firefox обнаружена уязвимость, которая теоретически может быть использована злоумышленниками с целью кражи конфиденциальных данных.

Как отмечает компания Chapin Information Services, проблема связана с особенностями работы менеджера паролей Firefox. Эксплуатируя дыру, нападающий может похитить имя и пароль жертвы при автоматическом заполнении формы в блоге или форуме. Причем пользователь может даже не подозревать, что эта информация попала в чужие руки, поскольку находится на известном и часто посещаемом ресурсе.

Роберт Чапин, президент Chapin Information Services, подчеркивает, что менеджер паролей Firefox недостаточно тщательно проверяет, куда отправляются конфиденциальные данные. В итоге ответ на запрос, сделанный одним сервером, может быть отослан совершенно другому серверу, доступ к которому имеют злоумышленники. Атака может быть осуществлена через сервисы ведения блогов, форумы, социальные сети и другие службы, пользователи которых могут размещать HTML-код. Кстати, подобная схемы незаконного получения паролей уже была задействована киберпреступниками в социальной сети MySpace.

Чапин также отмечает, что проблема с менеджером паролей актуальна и для Internet Explorer. Однако в случае с IE дыра представляет меньшую опасность, поскольку браузер Microsoft более тщательно проверяет источник заполняемой формы.

Брешь в Firefox охарактеризована критически опасной, способов ее устранения пока не существует. В качестве временной защитной меры эксперты по вопросам безопасности рекомендуют отключить функцию автоматического сохранения паролей для веб-сайтов.

24 ноября 2006 года, 13:58
Текст: Владимир Парамонов

Ссылка