Si bien mantengo mi posición respecto de la vulnerabilidad del robo de contraseñas de Firefox, la cual es puesta en duda hasta por los desarrolladores ya que requiere que un atacante logre penetrar en un sitio para hacerse con las contraseñas (lo cual considero que es parte de la seguridad de cada sitio), la vulnerabilidad que comento a continuación no me merece la más mínima duda. Si utilizas Firefox bajo Windows XP y tienes instalado IE7, estarás expuesto a una gravísima vulnerabilidad en Firefox 2.0.0.5, Netscape 9 y Mozilla que permite la ejecucón remota de comandos en tu PC con solo dar clic en un enlace.
Esto significa que con solo dar clic en un enlace es posible ejecutar cualquier aplicación o comando en forma remota y silenciosa. Tanto se podría abrir la calculadora como formatear por completo el disco o hacer lo que a alguien malintencionado se le ocurra hacer. Esto no está limitado a una carpeta en particular si no que todo el disco es accesible a este ataque. Para ver ejemplos de esta vulnerabilidad basta con dar clic en cualquiera de los siguientes enlaces de demostracón provistos por la siguiente página:
http://xs-sniper.com/blog/remote-command-exec-firefox-2005/
Veran con que facilidad se accede a nuestro equipo. Estos son solo ejemplos, pero repito, tanto vale abrir la calculadora como formatear el disco. De acuerdo al US-CERT esta grave vulnerabilidad se hizo pública el 25.07 y la gente de Mozilla está trabajando en ello (ver bug 389580).
Para estar algo más prevenidos, se recomienda modificar unas claves de configuración para que al menos nos avise en caso de ejecutar enlaces mailto, nntp, news o snews, los cuales son utilizados para este tipo de ataques. Para esto deberán escribir about:config en la barra de direcciones y luego cambiar el valor de las siguientes claves a True:
network.protocol-handler.warn-external-default
network.protocol-handler.warn-external.mailto
network.protocol-handler.warn-external.news
network.protocol-handler.warn-external.nntp
network.protocol-handler.warn-external.snews
Como adicional, evitar abrir enlaces que contengan “%00″ luego del protocolo.
Todas las versiones de Firefox incluida la 2.0.0.5 son vulnerables, aunque Firefox 2.0.0.6 RC2 ya tiene por solucionado este problema. Por lo que veo se están apurando a lanzar esta nueva versión (de hecho ya tengo instalada esta RC2), y seguramente saldrá en los próximos días. Si ya lo tienen solucionado opino que deberían lanzarlo de inmediato ya que el problema lo amerita.
Reitero, funciona bajo Windows XP teniendo IE7 instalado.
15 Comentarios
11:20 | #
Ninguno de los enlaces me abre nada (se supone que tienen que abrir la consola?).
Todos intentan abrir el outlook.
¿FUD o que?
11:26 | #
kNo: FUD? Si no te funcionan esos enlaces prueba en la siguiente página:
http://xs-sniper.com/blog/remote-command-exec-firefox-2005/
y ejecuta cualquiera de los enlaces de la demostracón.
15:48 | #
No tengo IE7 pero, todos intentan abrir el software de correo. El primero, lo hace (mailto), aunque en mi caso el firewall pide autorizacón. Hasta ahí es normal.
Los demás intentan lo mismo pero, como no tengo preconfiguradas nntp, news ni snews y tampoco está instalado el Outolook Express, no pasa nada.
Obviamente, imagino que el problema se generará después si IE7 continua con la ejecuón de calc.exe y blah.bat
No pienso instalar IE7 para probarlo
Si todo es así, no es grave: ES GRAVíSIMO.
22:31 | #
Otra temporadita lejos del IE7 y del windows, afortunadamente yo lo hago muy agusto.
22:36 | #
Creo que el hecho de que solo funcione bajo WinXP + IE7 instalado significa que hay algo de responsabilidad del S.O. en esto. Secunia atribuyó el error a Windows, pero es cierto que Firefox debe resolver el problema. De todas formas ya veo que están por lanzar la 2.0.0.6 que ya resuelve esto.
22:39 | #
Lo otro es que, afortunadamente IE7 no ha tenido mucho éxito y no es usado por la mayoría de los usuarios ^^
2:02 | #
El que no haya tenido éxito el IE7 yo lo achaco en gran medida a la gran cantidad de windows pirata que hay, porque a mi me lo sugirieron en el windows update hace bastantes meses. A mi me da igual tener el IE6 que el IE7 en lo que a programa intrinseco de Microsoft, pero como siempre están dando la bara que o tienes lo que ellos te dicen o estás en grave peligro…
14:21 | #
El culpable de todo esto no es Mozilla… es Micro$oft por hacer más insegura la navegación…
20:56 | #
Digamos que le hicieron pagar los platos rotos a Mozilla. Así y todo, Firefox ya lo tiene solucionado (demoró menos de una semana) y MS no ha ofrecido parche hasta la fecha, incluso cuando se descubó que la combinación de IE7 con otros programas como Skype, permitían (y aún permiten) la misma vulnerabilidad.
12:26 | #
Por algo ya migre a gnu/linux pues la plataforma de Micro$oft es un area de constante guerra con tantas fallas de seguridad,
una verdadera perdedera de tiempo, los fallos no son de mozilla sino de la basura de sistema operativo de Redmond, mi Firefox en Ubuntu corre de maravilla tan poderoso como siempre, pero para los usuarios de windows les recomiendo que usen la extension noscript, te protege bastante de paginas con codigo malicioso de java, bueno en este entorno de linux no uso nada de eso jejejeje, mejor cambiese asi veran la diferencia ya linux es facil de usar es una tonteria.
13:11 | #
el panda internet security 2007 me detecta las acciones,
tengo ie7 XPsp2 y toda esa cosa
al hacer click en los enlaces, se demora, como para abir una aplicacion
en el msj del panda dice de
TruePrevent
¡operacion peligrosa bloqueada!
y me señala la ruta del exe del firerfox
miren la fecha, y todavia este ug sigue en mozilla
13:16 | #
Carlos, veo que usas Firefox 2.0.0.1. La versión 2.0.0.6 ya ha solucionado el problema, que incluso no es de Mozilla si no de Microsoft y su grandioso IE7. La misma falla afecta a otros programas, como Skype, si se tiene IE7 instalado bajo Windows XP.
Saludos
15:54 | #
instalé la version 6 de WindowsUE
muy wena, la estoy actualizando x q algunos programas estan medios desactualizados
igual, panda antivirus (L) jajjaja
19:50 | #
puedeque se una pequeño error.. pero al tener abierta una pagina en el firefox 2.0.0.6 y abrir una pestaña no aparece la cruz para cerrar la pestaña en la pagina que teniamos abierta… sin embargo al cambiar de pestaña la cruz aparece xD!
pruebenlo..
y estoy seguro que el 2.0.05 no lo tenia por que si no no me hubiera dado cuentaa xD!
21:11 | #
No se trata de un error, si no de una característica de Firefox. Puedes ver la explicacón aquí:
http://www.zonafirefox.net/2006/10/configurando-los-botones-para-cerrar.html
6 Trackbacks