Bug in Firefox maakt phishingsites onherkenbaar
Gepubliceerd: Dinsdag 13 maart 2007
Auteur: Niels de Rijk
Beveiligingsonderzoeker Michal Zalewski heeft een bug in Firefox ontdekt waarmee kwaadwillenden de url van een gemanipuleerde site kunnen verhullen.
"De bug kan worden gebruikt om echtlijkende pagina's van organisaties als Ebay en Paypal op het web te plaatsen", aldus Zalewski. De url in de adresbalk en de titel in het browservenster kunnen worden weggelaten of vervangen.
Volgens Zalewski ligt het probleem in de manier waarop Firefox omgaat met de 'about:blank'-url, de url waarmee in browsers een blancopagina wordt geopend. "Verschillende Javascript-functies kunnen worden gebruikt om additionele content toe te voegen", schijft de beveiligingsonderzoeker.
Zalewski heeft een demo online gezet waarmee Firefox 1.5 en Firefox 2.0 de bug (veilig) kunnen testen. Volgens hem zitten er nog meer bugs in Firefox waarmee kwaadwillenden gebruikers kunnen 'spoofen'.
Mozilla heeft nog niet op de ontdekking gereageerd. Zalewski raadt gebruikers aan voorlopig geen Javascript of de Noscript-plugin te gebruiken - een plugin die alleen scripts toelaat op vertrouwde websites.
Bron: Techworld
