Newsgroup: it.comp.os.dibattiti
Titolo: Password vulnerability in Firefox 2.0.0.5

Annamo bene...
http://www.linux.com/feature/118166
According to a message posted over the weekend on the Full-Disclosure
mailing list, the latest version of Firefox, 2.0.0.5, contains a
password management vulnerability that can allow malicious Web sites
to steal user passwords. If you have JavaScript enabled and allow
Firefox to remember your passwords, you are at risk from this flaw.
The Mozilla team fixed a similar flaw last November, one which did not
require JavaScript. The heise Security Web site contains a demo/proof
of concept of the vulnerability risk that you can use to determine
your vulnerability.
The original flaw was referred to as reverse cross-site scripting and
was reportedly widely used on Myspace.com, which allows users to post
pages containing JavaScript.
Discussions between heise Security and Mozilla developers describe a
debate among Mozilla developers over removing this feature, since
"evil" server pages can steal passwords from browsers whether the user
has opted for password management by Firefox or not.
Apple's Safari is vulnerable in the same way. Current workarounds
include disabling JavaScript in Firefox or avoiding the use of Firefox
password management on sites where users are allowed to post
JavaScript pages.
--
Joe

 
http://www.linux.com/feature/118166
Riassumendo: specificando uno username/password in una pagina su un certo
sito e salvandolo con FF, un'altra pagina *sullo stesso sito* te la può
fregare. Difficilmente arriverei a chiamarla una vulnerabilità.
-- 
emboliaschizoide.splinder.com

 fregare. Difficilmente arriverei a chiamarla una vulnerabilità.
Basta che più utenti abbiano una pagina web personale sullo stesso server.
Se ho capito bene basta porre nella propria una form username/password
identica a quella della pagina di un altro utente a cui il navigatore
abbia avuto accesso con le proprie credenziali.
http://www.heise-security.co.uk/news/93018
From the users' perspective, this means that they should not entrust their
passwords to the password manager on web sites that allow other users to
create their own pages containing scripts. Otherwise somebody can easily
create a page that steals the password as soon as the page is opened (see
our password stealing demo for that). This category of sites includes many
content management systems including blogs and social networking sites.
Specific filtering functions attempting to distinguish good from evil code
are not really helpful, since experience shows that they can be bypassed
in most cases. 
E purtroppo, quanti siti funzionano in questo modo? E non hanno
l'autenticazione criptata?
-- 
Joe
«La Chiesa è per definizione antiinterventista»

 has opted for password management by Firefox or not.
sě, ma cavolo, direi che siamo di fronte ad un grosso problema di design
di javascript.
In 
http://www.heise-security.co.uk/news/93018
 dicono
But Markus Bucher noticed that it is not necessary to change the
destination: rather, it is possible to read out the entered data via
JavaScript and then submit them. To do so, the page must simply access
the data via the DOM (document.<form>.<field>.value).
E qua non c'č discorso che tenga... Anche perché se uno prende quei dati
nell'onSubmit che ci sia il password manager o meno le password vengono
ciucciate.... Che gioia l'XMLHttpRequest.....

 ciucciate.... Che gioia l'XMLHttpRequest.....
Ma che dici ? Se fai un sito con i piedi (e MySpace lo e') prima o poi la 
paghi.
Non esiste lasciare in mano agli utenti javascript.
XMLHttpRequest c'entra una fava.
  ngw
-- 
"ma gavte la nata." -- Jacopo Belbo
http://www.tochunky.org

 Ma che dici ? Se fai un sito con i piedi (e MySpace lo e')
Coi piedi? ahahahahahahahahha :D
Myspace è merda pura e puzzolentissima, altro che sito fatto coi piedi. È
peggio di Geocities del 1997, e ti fa capire perchè il mondo va così male.
Se una cosa come Myspace ha successo, è perchè la razza umana ha qualcosa
di sbagliato.
-- 
Vide