CERT-FI haavoittuvuustiedote 040/2010

26.2.2010

Firefox-selaimessa harhauttamisen mahdollistava javascript-haavoittuvuus

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen - ei päivitystä tai rajoitusmenetelmää	Lisätietoja

Firefox-selaimesta on löydetty haavoittuvuus, joka mahdollistaa käyttäjän harhauttamisen JavaScript-koodia sisältävän sivun avulla. Haavoittuvuuden avulla voidaan piilottaa linkin todellinen kohdeosoite siten, että tilarivillä näkyy väärä kohdeosoite. Linkin seuraamisen jälkeen todellinen osoite kuitenkin paljastuu.

Hyökkääjä voi käyttää haavoittuvuuksia erilaisten huijausten tai ns. drive by download -hyökkäysten mahdollistamiseen.

HAAVOITTUVAT OHJELMISTOT:

• Firefox 3.X (testattu versiossa 3.0.18)
  

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Poista JavaScript käytöstä tai rajoita sen käyttöä esimerkiksi NoScript -laajennuksen avulla.

LISÄTIETOA:

• http://archives.neohapsis.com/archives/fulldisclosure/2010-02/0435.html
  

PÄIVITYSHISTORIA:

26.2.2010, kello 14.30: Julkaistu

Sivua päivitetty 26.02.2010

Tulostusversio