Lek in Firefox maakt wachtwoorddiefstal mogelijk
Gepubliceerd: Donderdag 3 januari 2008
Auteur: Loek Essers
Een beveiligingslek in Firefox maakt phishing door hackers mogelijk. Dit meldt de Israëlische beveiligingsexpert Aviv Raff.
Bij de browser blijkt spoofing mogelijk, waarbij een persoon of programma zich voordoet als een ander programma door data te vervalsen. Bij Firefox is dat mogelijk bij het standaard pop-up inlogscherm. Dit kan er voor zorgen dat een aanvaller wachtwoordgegevens van een gebruiker kan ontfutselen terwijl hij denkt in te loggen bij een vertrouwde site.
Het probleem zit volgens Raff in een nalatigheid bij het programmeren van het inlogscherm. Hierdoor kunnen hackers een kwaadaardige code meesturen waardoor het inlogscherm te vertrouwen lijkt.
Twee soorten aanvallen
Volgens Raff zijn er minstens twee soorten aanvallen mogelijk. Een aanvaller kan een link naar een vertrouwde site van bijvoorbeeld een bank creëren. Als een gebruiker op de link klikt opent een nieuw venster en wordt er een script uitgevoerd. Hierdoor wordt het venster op de server van de hacker geopend. Vervolgens krijgt de gebruiker het valse inlogscherm te zien.
De aanvaller kan ook een plaatje in een e-mail, rss-feed of blogposting verwerken. Als daar op geklikt wordt opent het valse authenticatiescherm.
Het lek werd gevonden in Firefox 2.0.0.11. Raff waarschuwt dat het probleem zich ook kan voordoen bij andere Mozilla producten. Zijn advies is geen informatie meer prijs te geven aan websites die dit authenticatiescherm gebruiken totdat Mozilla het probleem heeft opgelost.
Een voorbeeld van een aanval is in onderstaande video te zien. Er is ook een wmv video te downloaden met een hogere kwaliteit.
