Tal y como anunciamos a principios de mes, el problema se debe a un error en el tratamiento de IDN (International Domain Name), que permite el uso de caracteres internacionales en nombres de dominio. Esta circunstancia puede ser explotada para registrar nombres de dominio con ciertos caracteres internacionales que se parecen a otros de uso común, con lo que se puede engañar al usuario.
A efectos prácticos, es posible enlazar con un dominio que tiene la dirección http://www.payp?l.com/ y que el usuario visualice en su navegador la URL http://www.paypal.com/
Este tipo de vulnerabilidades son aprovechadas especialmente por los ataques phishing, ya que facilita engañar al usuario para que crea que se encuentra navegando en un sitio web legítimo, cuando en realidad estará introduciendo sus credenciales en el sitio web del atacante.
Este problema afectaba, además de a Firefox, a Konqueror, Mozilla, OmniWeb, Opera, Safari, Netscape. En esta ocasión se libraba Internet Explorer al no soportar IDN.
La nueva versión Firefox 1.0.1 corrige además otras vulnerabilidades, hasta un total de 17:
MFSA 2005-29 Internationalized Domain Name (IDN) homograph spoofing
MFSA 2005-28 Unsafe /tmp/plugtmp directory exploitable to erase user’s files
MFSA 2005-27 Plugins can be used to load privileged content
MFSA 2005-26 Cross-site scripting by dropping javascript: link on tab
MFSA 2005-25 Image drag and drop executable spoofing
MFSA 2005-24 HTTP auth prompt tab spoofing
MFSA 2005-23 Download dialog source spoofing
MFSA 2005-22 Download dialog spoofing using Content-Disposition header
MFSA 2005-21 Overwrite arbitrary files downloading .lnk twice
MFSA 2005-20 XSLT can include stylesheets from arbitrary hosts
MFSA 2005-19 Autocomplete data leak
MFSA 2005-18 Memory overwrite in string library
MFSA 2005-17 Install source spoofing with user:pass@host
MFSA 2005-16 Spoofing download and security dialogs with overlapping windows
MFSA 2005-15 Heap overflow possible in UTF8 to Unicode conversion
MFSA 2005-14 SSL “secure site” indicator spoofing
MFSA 2005-13 Window Injection Spoofing
Firefox 1.0.1 está disponible para su descarga en la dirección http://www.mozilla.org/products/firefox/
Los usuarios denunciaban que la compañía los había rastreado incluso cuando usaban el modo privado…
El Instituto Valenciano de Competitividad Empresarial financiará aquellas iniciativas que puedan solucionar incertidumbres científicas o…
Solo en el cuarto trimestre las empresas emergentes del país han levantado 1.500 millones de…
La región tiene 13 scaleups y destaca por sus empresas emergentes de salud y agrotech.
Valencia ha atraído en el primer semestre del año 30 millones de euros de inversión…
El diario estadounidense demanda a las dos compañías tecnológicas por haber usado sus contenidos para…