Ve webovém prohlížeči Firefox 2, který v poslední době začíná získávat čím dál tím větší uživatelskou základnu, byla nalezena další bezpečnostní mezera.
Podstata zranitelnosti spočívá v principu aktivace automatického vyplňování webových formulářů, obsahujících přihlašovací jméno a heslo. K automatickému vyplnění totiž Firefoxu postačí, pokud mu souhlasí doména zobrazené stránky. Dále však již nezkoumá, kam jsou zadávané údaje odesílány.
Útočník tak může na danou doménu umístit podvržený formulář, pomocí kterého bude od důvěřivých uživatelů získávat automaticky předvyplněné přihlašovací údaje. Odesílaná data samozřejmě budou putovat již na útočníkům server. Problém může nastat zejména na komunitních webech, kde jeden doménový prostor sdílí velká řada uživatelů. Vyplňovaný formulář přitom nemusí být uživateli nijak zviditelněn – Firefox ho vyplní i ve skrytém stavu a uživatel ho může v zápětí nechtěně odeslat například kliknutím na libovolnou komponentu s funkcí tlačítka Odeslat.
Je velmi pravděpodobné, že se tato zranitelnost velmi brzy začne zneužívat v oblasti phishingových útoků. K dispozici je již i ukázkový příklad zneužití.
Podobným chováním trpí rovněž i prohlížeč Internet Explorer, nicméně zranitelnost je téměř nulová – vyplnění údajů není vázáno pouze na doménové jméno, ale na kompletní URL adresu stránky.
Mozilla plánuje opravu této zranitelnosti v některých z budoucích verzí prohlížeče. S narůstajícím počtem uživatelů se postupně začíná objevovat i druhá strana mince popularity – zájem útočníků o potenciální zranitelnosti. Věřme, že Firefox a jeho vývojáři ustojí toto postupné narůstání síly útočníků.
Zdroj: Slashdot.org
