Vulnerabilità delle password in Firefox 2.0.0.5

Come in un film già visto ecco riprospettarsi all’orizzonte un grave problema di sicurezza nell’ultima release di Firefox, l’ottimo browser open source, sviluppato dal team Mozilla. Come successo a novembre scorso anche in questo caso la vulnerabilità riguarderebbe le password memorizzate e gestite dal browser che potrebbero essere rubate tramite del codice Javascript da siti poco affidabili.

Almeno questo è quanto riportato in un messaggio di Paris The Pirate sulla Full-Disclosure mailing list e c’è da preoccuparsi e se non altro per il fatto che sul sito web Heise-Security è subito comparsa addirittura una demo per fare vedere cosa potrebbe accadere nel caso in cui ci dovessimo imbattere in qualche sito malizioso con una versione del browser affetta da tale vulnerabilità.

Io ho provato ad effettuare il test e nonostante abbia i Javascript attivati (cosa ormai d’obbligo per non “navigare alla cieca”) sembro non essere affetto dal problema anche se la cosa mi sembra essere alquanto strana visto che ho una normalissima versione di Firefox 2.0.0.5 e sono da un lato sollevato e dall’altro preoccupato perchè non si riesce più a distinguere l’affidabilità o meno di questi “proclami”.

Il problema di sicurezza che si era verificato a novembre con una delle prime versioni del ramo 2.0 era dovuto ad una particolare tecnica chiamata reverse cross-site scripting, che faceva in modo che le pagine malevole riuscivano ad impossessarsi delle password memorizzate nel gestore delle stesse del browser, ma non si faceva uso di codice Javascript per effettuare questa operazione malevola e la “furbata” era largamente diffusa sulle pagine di Myspace.com

Gli sviluppatori del team Mozilla stanno discutendo con gli esperti di Heise-Security se togliere o meno questa funzionalità dal browser in quanto è sempre più spesso possibile che delle pagine malevole possano rubare le password degli utenti di Firefox a loro insaputa a seconda che si sia scelto di memorizzarle nell’apposito gestore o meno. Stesso problema si ha con Safari e credo che anche Camino sia affetto da tale vulnerabilità in quanto facente parte della “grande famiglio Mozilla”.

Come mettersi al riparo dal problema? Disattivando i Javascript oppure non utilizzando il gestore delle password di Firefox.

Voi che browser utilizzate? Effettuando il test risultate essere esposti hai rischi sopra citati? Oppure come nel mio caso siete magicamente “esenti” da questo problema? Sono curioso di sapere se sono io che sbaglio ad effettuare la procedura di test oppure è una questione di aleatorietà della vulnerabilità… cosa per altro ancora più preoccupante perchè vorrebbe dire che ci vorrebbe una cura aleatoria!!!

[via Linux.com]