Groźna luka w Firefoksie

Otwiera to potencjalnym napastnikom furtkę do łatwiejszego wykradania nazw użytkownika i skojarzonych z nimi haseł używanych podczas dostępu do witryn chronionych metodą Basic Authentication. Sposób ten używany bywa przez webmasterów do szybkiego ograniczenia widoczności jakiejś ścieżki zasobów, a uwierzytelnienie polega na dostarczeniu przez przeglądarkę nazwy użytkownika i hasła podczas wysyłania żądania HTTP. Autentykację dla danej ścieżki włączyć może osoba tworząca stronę WWW lub administrator serwera. Dane używane podczas uwierzytelniania konfrontowane są najczęściej z informacjami zapisanymi w tekstowym pliku haseł, bazie danych typu SQL lub serwerze usług katalogowych (np. używającym protokołu LDAP).

Kiedy przeglądarka wykonuje połączenie do tak chronionego zasobu, to zamiast dokumentu otrzymuje komunikat o kodzie 401, który jest prośbą o autoryzację. Wiadomość ta zawiera również tzw. nazwę obszaru (realm) ustalaną przez osobę odpowiedzialną za włączenie autentykacji. Nazwa ta składa się zwykle z kilku słów i stanowi krótki opis komputera lub systemu. Po otrzymaniu tych danych przeglądarka wyświetla odpowiednie okno dialogowe, pozwalając w ten sposób użytkownikowi się uwierzytelnić. W oknie tym jest miejsce na podanie nazwy użytkownika i hasła, a jego nagłówek zawiera nazwę obszaru i URL witryny.

Ten ostatni łańcuch jest dodawany, aby korzystający z przeglądarki miał pewność, gdzie zostaną wysłane wprowadzone przez niego dane. Jednak Firefox ma kłopot z przetwarzaniem i wyświetlaniem tego elementu. Okazuje się, że używając apostrofów i spacji w nazwie strefy, można wpłynąć na to, jaki URL zostanie zaprezentowany jako pierwszy w okienku. W rezultacie potencjalny napastnik może oszukać użytkownika i zmusić go do przesłania mu danych uwierzytelniających używanych w zupełnie innym serwisie niż ten, do którego się połączył.

Raff demonstruje tę usterkę w krótkim klipie umieszczonym na swojej stronie WWW. Warunkiem koniecznym do przeprowadzenia udanego ataku jest otworzenie przez potencjalną ofiarę strony zaproponowanej przez intruza. Można tego dokonać, nie tylko wysyłając odnośnik w wiadomości poczty elektronicznej czy podając go w komunikatorze, ale również stosując linki na stronach, które rzekomo prowadzą do witryn zawierających opisy produktów, na przykład strony książki w serwisie Amazon.

Zgodnie z raportem podatne na usterkę są wszystkie wersje Firefoksa o numerze mniejszym lub równym 2.0.0.11. Na razie nie istnieje łata naprawiająca błąd. Raff radzi, by do czasu ukazania się rozwiązania problemu uważać na mechanizmy typu Basic Authentication i nie wprowadzać swoich danych, gdy okno dialogowe pojawi się w wyniku przekierowania z innego serwisu lub kliknięcia otrzymanego od kogoś odnośnika.