Newsgroup: it.comp.sicurezza.varie
Titolo: Gravissima falla di sicurezza in Firefox 2.0 che permette ad un sito di rubare le password salvate

E' stata scoperta una gravissima falla di sicurezza in Firefox 2.0 che
permette ad un sito web di rubare le vostre password che avete salvato.
Qui c'è un test dimostrativo:
https://bugzilla.mozilla.org/attachment.cgi?id=245426
Dovete inserire in real name e in real password un nome ed una password
che vi pare (per es. name=pippo e password=pluto), poi clickate sul
pulsante real form. Quando Firefox 2.0 vi chiede se volete salvare la
password rispondete di si in modo che il nome utente e la password per
il sito 
bugzilla.mozilla.org
 venga salvato. A questo punto si aprirà
una nuova pagina; quindi tornate indietro nella pagina di prima e
noterete che il nome utente e la password è stata automaticamente
inserita nel fake form, infine premete sul pulsante fake form e vi si
aprirà una nuova pagina sul sito maligno d'esempio 
evil.mozilla.com
che vi mostra come sia riuscito a rubare il vostro nome utente e
password del sito 
bugzilla.mozilla.org
 al sito 
evil.mozilla.com
;
compare il nuovo url
http://evil.mozilla.com/stealpassword?name=pippo&password=pluto
Meditate gente... Meditate...
Saluti da P4
http://p4werterxyz.spaces.live.com/

P4 ha scritto:

Gravissima un corno! Ma perchè esageri quando si parla di software non 
Microsoft?
Per secunia è "less critical"
http://secunia.com/advisories/23046/
Medita P4, medita...

 Microsoft ?
Non sarà perchè è prevenuto ?

 
non c'è che dire, la chiarezza è il tuo forte....
cmq dimenticavo:
Grazie.

 Grazie.
Quoto.

che vi mostra come sia riuscito a rubare il vostro nome utente
Dubito che sia un problema del solo Firefox...
	Microsoft's response on IE, "We are aware of the issue you
	reported," makes me wonder if this attack will remain
	viable on IE for some time, even after FireFox is fixed.
Oh, a proposito! Hai installato la patch, VERO? Corri!
http://secunia.com/Internet_Explorer_Arbitrary_Content_Disclosure_Vulnerability_Test/
==========
Most Critical Unpatched
The most severe unpatched Secunia advisory affecting Mozilla Firefox 2.x,
with all vendor patches applied, is rated Less critical  
Most Critical Unpatched
The most severe unpatched Secunia advisory affecting Microsoft Internet
Explorer 6.x, with all vendor patches applied, is rated Moderately
critical  
http://secunia.com/graph/?type=imp&period=2006&prod=12434
http://secunia.com/graph/?type=imp&period=2006&prod=4227
http://secunia.com/graph/?type=imp&period=2006&prod=11
Com'era? Ah si': meditate, gente, meditate :-D
Leonardo
-- 
Dawn is near, the time is short (Human aircraft! Hard to port!)
We eight reindeers of the night work as one in silent flight.
Let not one damn house pass by (Who taught that guy how to fly?)
Each year sees more girls and boys: how many of them can we bring toys?

 Dubito che sia un problema del solo Firefox...
Guarda che in IE il problema NON c'è in quanto SOLO Firefox
AUTOCOMPLETA il form con la PASSWORD precedentemente salvata,
ingannando quindi l'utente.
"On 11/12/2006, CIS reported to Mozilla that the Firefox web browser
will automatically fill saved usernames and passwords into such RCSR
forms. This behavior does not occur in Internet Explorer"
Saluti da P4

 sarebbe vulnerabile.
NO IE non è vulnerabile a questa falla.
Perchè con Firefox hai che il nome utente e la password vengono
AUTOMATICAMENTE inseriti e quindi la gente viene ingannata da questo,
mentre con IE sei tu a dover inserire/scegliere il nome utente. Infatti
con FF sei ingannato per sai che se hai l'autocompletamento di sicuro
quel nome utente e quella password sono proprio quelli di quel sito,
mentre in realtà con questa falla ciò non è più vero. 
Saluti da P4

 raccontò al prossimo suo:

senti Werter, mi sfugge la differenza fra una form che si completa 
automaticamente su un sito trappola, e una form che l'utente completa a mano 
su un sito trappola.
Alla fine, il problema è quando dai invio, e comunque, la regola sovrana 
rimane sempre installarsi la Netcraft Toolbar... ma soprattutto...
...usare il cervello :)
in altera pars res, non c'è prudenza e politica di sicurezza che tanga
^^
qu 

 su un sito trappola.
C'è una differenza abissale, perchè con Firefox sai che quando hai
l'autocompletamento del nome utente + password (preceduto da richiesta
di password del password manager) hai la certezza che quell'account
provenga proprio da quel sito; ma purtroppo questa certezza cade con
questa falla clamorosamente!
Mentre con IE l'autocompletamento non implica che quell'account sia
associato a quel sito, ed è l'utente che deve saperlo.
Saluti da P4

 mentre con IE sei tu a dover inserire/scegliere il nome utente.
a quando una patch per la sintassi?
-- 
Esopo XII-V
Un lurido cane nerd un giorno vide un lebbroso utente Windows XP.
Cane Nerd: "Ti piace Linux?"
Lebbroso finestraio: "Bah, mi piace più Albertino"

 Meditate gente... Meditate...
Mah, ancora non capisco cosa vi sia da meditare.
Stiamo invece ancora tutti aspettando con ansia le tue segnalazioni
sulle recenti falle di IE7 ed il post di Navigatore che ti rimprovera
per aver parlato di Firefox su icowx.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 E' stata scoperta una gravissima falla di sicurezza in Firefox 2.0 che
se ne parla pure qui
http://cala79.blog.excite.it/
e si offre il consiglio per rimediarlo


https://bugzilla.mozilla.org/attachment.cgi?id=245426
----snip---
Sul mio FF2.0 non va.
ma comunque, per non saper ne' leggere ne scrivere:
Grazie.
Quoto.
Cazzate.
Giovanni Cesaretti
-- 
"We have a better-than-zero chance of
successfully intercepting, I believe,
an inbound warhead"
Lt. Gen. Henry Obering III, Director
of the US Missile Defense Agency 

Ma medita a che cosa ? a quanto è facile truffarti?
Ma hai visto il sorgente di quella pagina?
i campi hanno lo stesso nome e quindi per lui sono gli stessi, firefox non 
tiene conto del nome del form, il bug esiste solo se uno si strova nel sito 
in cui non dovrebbe essere.
E cmq anche ie fa la stessa cosa. Riempi il primo campo con aaaaaaa e con 
password 123456, invii il primo, poi tornoi indietro e clicchi col mouse sul 
secondo finto form... per magia vedrai comparire tutti i nomi utente usati 
in altri form con lo stesso nome, quindi anche quello del form superiore, 
cmq scegli aaaaaaa e vedrai che ie avrà lo stesso bug...
questo non si chiama bug ma automazione o completamento automatico.
PS:Mi sa che è meglio che torni a navigare con freehand che li hai jacksms 
che ti difende dallo spam. :P
----------------------------------
Un terrone... è per sempre..
JUST LOLLAMI STA MINKIS



P4 ha scritto:
[...]
neanche a me funziona
Sicuro che il secondo url sia corretto ?
Ciao
 Fausto

 Sicuro che il secondo url sia corretto ?
che cosa non ti funziona?
Il sito 
evil.mozilla.com
 a cui la password viene inviata è un sito
d'esempio (non esiste, serve solo a scopo dimostrativo) e infatti se ti
compare la password nell'URL target, significa che è stata inviata
proprio la.
Qui
http://p4werterxyz.spaces.live.com/blog/cns!5303B6CC1AC175A6!285.entry
ci sono le immagini che ho fatto per gli impediti che non riescono a
fare un semplice test (nemmeno con le istruzioni passo dopo passo che
ho fornito!).
Saluti da P4

 ho fornito!).
grazie, sei meglio del buon samaritano

pastrono ha scritto:

Quoto.

Saluti da P4
Infatti. 

 ha scritto nel messaggio 
news:1164192943.1...@j44g2000cwa.googlegroups.com...
non salvo le password, e cmq sono sicuro che tra pochissimi giorni il mio ff 
si aggiornera' da solo com'e' successo fin'ora!
firefox rulez

 
Quoto.

Fausto ha scritto:

p4 ha ragione.

Risposta al messaggio di P4 :

Il Bug sembra confermato comunque anche se meno grave di quello di 
Firefox anche IE7 è vulnerabile ad attacchi RCSR solo che non aprono un 
bug pubblico con tanto di form per testare la vulnerabilità.
http://www.quellicheilpc.com/portale/modules/news/article.php?storyid=1627
Io ho provato a fare il test proposto con IE7 ma non riesce ad aprire la 
pagina, dà un errore  406.
Se dovete loggarvi su Forum o siti i come Myspace che consentono di 
includere HTML e Javascript e non  hanno un controllo su quello  vi 
avvisa solamente  con un messaggio ma dovreste essere voi ad accorgervi 
che qualcosa non va).
che viene inserito dai propri utenti ( vi conviene disattivare il 
"ricordo password". o utilizzare Manager password timeout (che momunque
In ogni modo la vulnerabilità dovrebbe potersi sfruttare solo se il form 
maligno si trova all'interno dello stesso dominio su cui vi volete loggare.
E' comunque sempre una pessima idea memorizzare in un browser dati 
personali di vitale importanza molto meglio ricordarseli o scriverseli 
su un foglietto.
-- 
Il mio Blog - 
http://www.gialloporpora.altervista.org/Blog
* Faq di /it-alt.comp.software.mozilla/: 
http://snipurl.com/mozfaq

Saluti da P4
Ma questa è una delle tante falle di firefox2.0
c'è ne sono molte altre, dove si prendono virus da siti se non vi
state attenti è capitato a me un sacco di volte. E' c'è chi sostiene
che firefox è sicuro al 100%, tutte balle, sono quelli di firefox che
non si preoccupano a risolvere queste falle. Va bè se andate su
explorer è peggio si prende la schifezza più pura.
Samanta

 explorer è peggio si prende la schifezza più pura.
La sicurezza non è di questo mondo...
Con un poco di accortezza è possibile, tuttavia, navigare senza problemi.
-- 
Spesso l'uomo concentrandosi sui mezzi perde di vista lo scopo.
A. Schopenhauer

 AUTOMATICAMENTE inseriti
SE vuoi te, se ti piace come opzione, se la scegli TU per quel dato sito, se 
non vuoi non salv auna cippa, è solo una funzione in più rispetto a IE, per 
la password del sito di ManetteMatte mi frega una cippa, per postpay o altro 
ovvio che non salvo la password, ma qui è solo questione di usare il 
cervello chi usa il browser, anche sulle automobili se tiri in freno a mano 
di colpo in curva sul baganato hai buone probabilità di fucilarti su un 
platano....
Mio nonno diceva che cosa c'è non si rompe, ma cosa c'è serve... 

P4 wrote:
[cazzate]
Navigatore, strenuo difensore dei post in-topic, dove sei?
Siete a letto insieme?

 ho fornito!)
ROTFL, ma vaffanculo! :-D

 
http://p4werterxyz.spaces.live.com/blog/cns!5303B6CC1AC175A6!285.entry
Cosa sarebbe il Windows Live ID?
Provato a iscrivermi, ma ho i JS tutti occupati.
https://accountservices.passport.net/jsDisabled.srf?lc=1040
-- 
Salva saluti da:
echo 40959219681464777729187986074393988395592896740592906P | dc

Samanta ha scritto:

ho notato che ultimamente p4 si è evoluto nei suoi morph, non ci sono più i
soliti "quoto", "infatti" ecc. ma discorsi più ROTFLevoluti.... inoltre
sono tutti fake femminili, per rispetto alle quote rosa....

pastrono ha scritto:

non sono p4.

 
Grazie.
.
.
.
.
.
.
.
.
.
ps: come fate a creare questi ascii-art? a mano o c'è qualche programma?

 Samanta
P4 ha trovato l'anima gemella :-)
Il virus che dici te non č un virus ma un dialer e se rispondi sě ff fa 
quello che gli ordini:
http://www.tosnet.it/sam1.JPG
http://www.tosnet.it/sam2.JPG
Certo che sareste proprio una bella coppia
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Mi piacerebbe sapere chi e' il mandante di tutte le cazzate che faccio.
		-- Altan

Guarda che in IE il problema NON c'è
Oh, non c'e' problema: se non c'e' non c'e':
	Microsoft's response on IE, "We are aware of the issue you
	reported," makes me wonder if this attack will remain
	viable on IE for some time, even after FireFox is fixed.
Ho sempre avuto il dubbio che in MS si fumassero la corda :-)
Ma piuttosto, dimmi, tu che usi IE, la patch l'hai installata?
http://secunia.com/Internet_Explorer_Arbitrary_Content_Disclosure_Vulnerability_Test/
...almeno il test, l'hai fatto? :-)
Leonardo
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.

explorer è peggio si prende la schifezza più pura.
Usa lynx - o, se proprio devi, la Virtual Browser Appliance di VMWare
(gratuita) e vivi felice.
Ne tieni una per lo home banking, una per il browsing a bischero e su
un CD masterizzi l'originale, da ripristinare in cinque minuti se mai
ti capita qualcosa.
Il virus che riesce a schiantare Firefox, prendere il controllo della
VM riconoscendone marca e modello, ed uscirne, prendendo il controllo
dell'host OS, non credo sia mai stato scritto - all'unico in grado di
farlo hanno inchiodato le mani su una croce.


non sono p4.
Quoto.


 all'unico in grado di farlo hanno inchiodato le mani su una croce.
:-D
Ma possibile che per Leonardo non ci sia ancora un sito, un NG
dedicato, una raccolta dei suoi post migliori, un fans-club, ...
edi'® (che si iscriverebbe subito) 

edi'® ha scritto:

Quoto.
(e stavolta lo faccio seriamente! :-) )

 farlo hanno inchiodato le mani su una croce.
rotfl.
Ehm, attento, ora ti toccherà una dura reprimenda dell'Osservatore Romano e
dell'Avvenire per la tua satira blasfema. <g>

 dedicato, una raccolta dei suoi post migliori, un fans-club, ...
Qualcuno, afair, aveva fatto un fortune, a suo tempo.

 su una croce.
Aaaaahhh anatema anatema.. vade retro :) !!
Brigadiè.. ah no Appuntato.. no, nemmeno.. ah si.. padre
presto, mi passi i moduli per la scomunica rapida !!

 Saluti da P4
ciao

 Prendi il tuo linux e vattene affanculo
?
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 ?
Lascialo perdere e plonkalo, ormai ha perso ogni contatto con la realtà.
-- 
yo| icq: 197-276-683
bb| msn: 
bubba....@gmail.com

 
Non ti preoccupare, trattasi di sindrome compulsiva da usenet.[*]
Per lui, qualunque post contenga la parola firefox e' in topic
solo su linux.
PS: :-) o si e' bevuto il cervello oltre il lecito, o e' un fake
"alla pastrono", visto che se la prende nientepopodimenochecon P4.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Questo post non è mio, qualcuno si è divertito a scrivere a mio nome.
Ecco la gente frequenta questo newgroup che pur di dimostrare quello che più 
gli fa comodo arriva a simulare.
Attento amico che da un pò che stai scrivendo a mio nome ricorda che sulla 
rete tutti siamo rintracciabili.
Uomo avvisato mezzo salvato.
Navigatore
"Navigatore" <navigatore2000@-NOSPAM-hotmail.com> ha scritto nel messaggio 
news:ek6q1u$mnu$1...@tdi.cu.mi.it...


 "alla pastrono", visto che se la prende nientepopodimenochecon P4.
oh, guai a paragonarmi al (finto) navigatore....

 Uomo avvisato mezzo salvato.
...e moglie e buoi dei paesi tuoi.
ah, cmq....
.
.
.
.
Quoto.


Nessun paragone, ma devi ammettere di aver inventato uno stile. :-p


 
bene, dopo il presidente-operaio, dopo l'ingegnere-coglione (p4) ecco
l'informatico-stilista! :-)

 Uomo avvisato mezzo salvato.
Ti scateno addosso Lex per le minacce.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

Ma possibile che per Leonardo non ci sia ancora un sito
Stammi sottovento, poi tu lo senti che sito [1]
Leonardo
[1] curiosamente pare che questa locuzione appaia su un unico sito (piu'
    altri tre che non suggerirei a Samanta), di scarso valore culturale:
 
http://www.sienarugbyclub.it/cino/sms.htm
 (n. 170)


 Quoto.
Muoio.
-- 
ValeRyo

 ha scritto nel messaggio
news:yrndau1q...@potere.al.popolo

http://www.slimmit.com/go.asp?5NX
Terzo link :-)
-- 
ValeRyo