Una vulnerabilità molto diffusa consente di creare false finestre di dialogo, utilizzabili da un aggressore per rubare password e altri dati sensibili.
Secunia Research ha annunciato l'esistenza di una falla piuttosto seria in numerosi browser che può essere sfruttata da un sito ostile per creare finestre di dialogo ingannevoli.
Il difetto, secondo Secunia, è che le finestre di dialogo generate tramite Javascript non specificano la propria origine. Questo permette a una nuova finestra del browser di aprire una finestra di dialogo che sembra appartenere a un sito fidato quando in realtà proviene da un sito ostile aperto in un'altra finestra.
La situazione tipica è questa: la vittima visita un sito-trappola che apparentemente non fa nulla di male (anzi magari alletta con qualche "premio" ghiotto, come immagini o suonerie o MP3 scaricabili), poi apre un'altra finestra e visita un sito sicuro e fidato (per esempio quello della sua banca, o quello della sua webmail). Il sito-trappola è in grado di visualizzare in molti browser sopra la pagina del sito fidato una finestra di dialogo che gli chiede, per esempio, di immettere login e password del sito fidato. Queste informazioni, invece di essere passate al sito fidato, vengono trasmesse al sito ostile.
Secunia ha preparato una dimostrazione (http://secunia.com/multiple_browsers_dialog_origin_vulnerability_test/) che permette di verificare se il vostro browser è a rischio. Secondo Secunia, sono vulnerabili Internet Explorer per Mac e Windows, Opera, Safari, iCab, Mozilla, FireFox e Camino: la falla può quindi avere effetto anche su browser sistemi operativi diversi da Windows. Di certo funziona egregiamente con Firefox per Mac, stando alle mie prove.
Per verificare se siete vulnerabili è sufficiente visitare la dimostrazione preparata da Secunia e cliccare col pulsante sinistro sul link "Test Now - Left Click On This Link": si aprirà una nuova finestra, nella quale comparirà Google (sito autentico).
Se il browser è fallato, sopra la finestra di Google comparirà una richiesta di immettere una password. Essendo una dimostrazione, non importa cosa vi immettete: premendo Invio, comparirà una ulteriore finestra che vi ammonisce che si poteva trattare tranquillamente di un sito ostile, al quale a questo punto avreste regalato la vostra password.
In attesa che i produttori dei vari browser risolvano il problema, conviene disattivare Javascript almeno quando si visitano siti non fidati e più in generale non visitare contemporaneamente siti fidati e siti di cui non si conosce l'affidabilità.
Fonte: Paolo Attivissimo
Secunia Research ha annunciato l'esistenza di una falla piuttosto seria in numerosi browser che può essere sfruttata da un sito ostile per creare finestre di dialogo ingannevoli.
Il difetto, secondo Secunia, è che le finestre di dialogo generate tramite Javascript non specificano la propria origine. Questo permette a una nuova finestra del browser di aprire una finestra di dialogo che sembra appartenere a un sito fidato quando in realtà proviene da un sito ostile aperto in un'altra finestra.
La situazione tipica è questa: la vittima visita un sito-trappola che apparentemente non fa nulla di male (anzi magari alletta con qualche "premio" ghiotto, come immagini o suonerie o MP3 scaricabili), poi apre un'altra finestra e visita un sito sicuro e fidato (per esempio quello della sua banca, o quello della sua webmail). Il sito-trappola è in grado di visualizzare in molti browser sopra la pagina del sito fidato una finestra di dialogo che gli chiede, per esempio, di immettere login e password del sito fidato. Queste informazioni, invece di essere passate al sito fidato, vengono trasmesse al sito ostile.
Secunia ha preparato una dimostrazione (http://secunia.com/multiple_browsers_dialog_origin_vulnerability_test/) che permette di verificare se il vostro browser è a rischio. Secondo Secunia, sono vulnerabili Internet Explorer per Mac e Windows, Opera, Safari, iCab, Mozilla, FireFox e Camino: la falla può quindi avere effetto anche su browser sistemi operativi diversi da Windows. Di certo funziona egregiamente con Firefox per Mac, stando alle mie prove.
Per verificare se siete vulnerabili è sufficiente visitare la dimostrazione preparata da Secunia e cliccare col pulsante sinistro sul link "Test Now - Left Click On This Link": si aprirà una nuova finestra, nella quale comparirà Google (sito autentico).
Se il browser è fallato, sopra la finestra di Google comparirà una richiesta di immettere una password. Essendo una dimostrazione, non importa cosa vi immettete: premendo Invio, comparirà una ulteriore finestra che vi ammonisce che si poteva trattare tranquillamente di un sito ostile, al quale a questo punto avreste regalato la vostra password.
In attesa che i produttori dei vari browser risolvano il problema, conviene disattivare Javascript almeno quando si visitano siti non fidati e più in generale non visitare contemporaneamente siti fidati e siti di cui non si conosce l'affidabilità.
Fonte: Paolo Attivissimo
