Faille de sécurité - Popup [SA13129 - Bug 273699]

[Humpfff]

(lu sur Mozilla News)
Secunia a mis à jour une faille de sécurité modérement critique touchant de nombreux navigateurs [Mozilla, Firefox, Internet Explorer, Opéra, Safari, Netscape, Konqueror]

Il s'agit d'une possibilité de détournement de contenu d'une fenêtre popup.

Malgré l'existence de cette faille sur toutes les versions de Mozilla Suite et Firefox. Il est possible de garder un regard sur l'adresse internet origine d'un popup.
[Tiens, tiens ?! J'étais sur http://www.mabanque.com et v'là t'y pas que ce popup m'emmène sur http://www.grosvilain.net ..... ]

En effet, Mozilla et firefox peuvent maintenir l'affichage d'une URL dans une fenêtre pop-up.
Pour cela :
1 : Saisir about:config dans la barre d'adresse.
2 : Saisir dom.disable_window_open_feature.location dans le champ filtre [vous pouvez faire un copier/coller ]
3 : Double clic sur la ligne affichée. La valeur doit passer à true

Le bug 273699 ouvert le 08/12 décrit cette faille et propose des simulations de ce genre d'attaques.

L'article de Mozilla News (anglais)

L'alerte Secunia SA13129 pour Mozilla et Firefox (anglais)

Bug 273699 : 2 Frame Injection Vulnerabilities (anglais aussi)

[calimo]

Et est-il possible de désactiver les autres "dom.disable_window_open_feature." ?

[Humpfff]

Oui ce doit-être possible, faudrait essayer
Tu penses à celle-ci en particulier ?
dom.disable_window_open_feature.status

[calimo]

Et puis à resizeable ou titlebar...
Bon en fait avec TBE ça n'a plus ou moins aucun sens

[berg]

Salut,
Ma question va peut-être paraître stupide :"si on bloque les popups avec Adblock quel est le problème?" Cela me passe très haut au-dessus de la tête aussi je cherche à comprendre

[jv2759]

il y as deux type de pop up :

Celui qui souvre en ouvrant une page. Et celui qui s'ouvre en cliquant sur un lien. Or si firefox n'auras pas de probléme avec le premier type(ce qui ne seras pas forcement le cas d'autre que l'on ne siteras pas). Mais avec le second c'est plus problématique, car l'antipop ne bloque pas.

Pour adeblock, oui est non. Car adblock empeche l'ouverture d'url identifier. Or cette faille si elle est utiliser seras utiliser par des pirate, les site de pub n'en on pas besoin (puisque tu as déjà le pop up). Or il y as peux de chance que tu connaisse aujourd'hui les sites des pirate potenciel. Donc téoriquement tu ne pouras pas bloquer grand chose.

[calimo]

Je pense que Secunia fais ses tests pour la "configuration de base", qui à ma connaissance ne comprend pas Adblock

Rappel : Adblock n'est pas infaillible, il peut très bien laisser passer un script et que ce soit celui-là qui soit dangereux (les pirates ne sont pas bêtes quand-même )

[berg]

Et bien j'en sais un peu plus. Merci les gars.

[berg]

Rappel : Adblock n'est pas infaillible, il peut très bien laisser passer un script et que ce soit celui-là qui soit dangereux (les pirates ne sont pas bêtes quand-même )

Salut calimo, petite question : alors comment tu vois la chose toi sous Linux?

[calimo]

Je ne suis pas sous Linux

[berg]

Sorry calimo , j'ai confondu avec quelqu'un d'autre de ce forum, mille excuses milord
Pour revenir au sujet, quoi faire d'autre que de continuer la navigation habituelle et de croiser les doigts. A moins que quelqu'un de pointu ne trouve la parade et nous la diffuse @+

[Mori]

A moins que quelqu'un de pointu ne trouve la parade et nous la diffuse

détectez-moi ce spoofing

> gouingouin au rapport !!! aux grands maux, les grands remèdes...

[berg]

Merci Mori, ça veux dire quoi "spoofing" je ne spique pas l'angliche. Ceci dit belabbès faut-il installer cette extension?

[bobo]

Le terme spoofing en informatique (je ne connais pas l'éthimologie ni la traduction litérale, usurpation me semble proche) regroupe toutes les techniques visant à faire passer un programme malveillant pour un quelque chose provenant d'une application ou d'un site à qui on fait confiance.
C'est par exemple des virus par mail qui simule un message en provenance de Citybank ou de Paypal.
Ca peut-être une popup d'un site malveillant qui imite l'interface du navigateur.
Dans ce cas là il s'agit d'une page d'un site malveillant qui s'introduit dans la popup d'une banque connue.

[berg]

Bon mais est-ce que ça vaut le coup d'installer SpoofStick? Qui as cette extension avec FF?