Mozilla Firefox "jar:" Protocol Handling Cross-Site Scripting Security Issue
[B]Secunia Advisory:[/B] SA27605 [B]Release Date:[/B] 2007-11-09
[B]Critical:[/B] [URL="http://secunia.com/about_secunia_advisories/"][IMG]http://secunia.com/gfx/crit_2.gif[/IMG] [COLOR=#0000ff]Less critical[/COLOR][/URL]
[B]Impact:[/B] Cross Site Scripting
[B]Where:[/B] From remote
[B]Solution Status:[/B] [COLOR=red][B]Unpatched[/B][/COLOR]
[B]Software:[/B][URL="http://secunia.com/product/12434/"][COLOR=#0000ff]Mozilla Firefox 2.0.x[/COLOR][/URL]
[B]This advisory is currently marked as unpatched![/B]
- [URL="http://corporate.secunia.com/how_to_buy/38/vulnerability_information_products_try/?ref=SA27605"][COLOR=#0000ff]Companies can be alerted when a patch is released![/COLOR][/URL]
[B]Description[/B]:
A security issue has been reported in Mozilla Firefox, which can be exploited by malicious people to conduct cross-site scripting attacks.
The problem is that the "jar:" protocol handler does not validate the MIME type of the contents of an archive, which are then executed in the context of the site hosting the archive. This can be exploited to conduct cross-site scripting attacks on sites that allow a user to upload certain files (e.g. .zip, .png, .doc, .odt, .txt).
[B]Solution[/B]:
Do not follow untrusted "jar:" links or browse untrusted websites.
[B]Provided and/or discovered by[/B]:
Reported by Jesse Ruderman in a Bugzilla entry.
Independently discovered by pdp.
[B]Original Advisory[/B]:
Mozilla:
[URL="https://bugzilla.mozilla.org/show_bug.cgi?id=369814"][COLOR=#0000ff]https://bugzilla.mozilla.org/show_bug.cgi?id=369814[/COLOR][/URL]
GNUCITIZEN:
[URL="http://www.gnucitizen.org/blog/web-mayhem-firefoxs-jar-protocol-issues"][COLOR=#0000ff]http://www.gnucitizen.org/blog/web-mayhem-firefoxs-jar-protocol-issues[/COLOR][/URL]
[B]Other References[/B]:
US-CERT VU#715737:
[URL="http://www.kb.cert.org/vuls/id/715737"][COLOR=#0000ff]http://www.kb.cert.org/vuls/id/715737[/COLOR][/URL]
[URL="http://secunia.com/advisories/27605/"]secunia.com[/URL]
PS: Вкратце на русском: Возможность проведения удалённым пользователем CSS атаки.
Если я правильно понял, временное решение не следовать по ссылкам с jar и не посещать непроверенные сайты.
Межсайтовый скриптинг в Mozilla Firefox
[B]09 ноября, 2007[/B]
[B]Программа: [/B]Mozilla Firefox 2.0.0.9, возможно более ранние версии
[B]Опасность: [COLOR=green]Низкая[/COLOR][/B]
[B]Наличие эксплоита: [COLOR=green]Нет[/COLOR][/B]
[B]Описание: [/B]
Уязвимость позволяет удаленному пользователю произвести XSS нападение.
Уязвимость существует из-за того, что обработчик протокола "jar:" не проверяет MIME тип содержимого архивов. Удаленный пользователь может загрузить на сервер определенные файлы (например, .zip, .png, .doc, .odt, .txt) и выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.
[B]URL производителя: [/B][URL="http://www.mozilla.com"][COLOR=#0000ff]www.mozilla.com[/COLOR][/URL]
[B]Решение: [/B]Способов устранения уязвимости не существует в настоящее время.
[URL="http://www.securitylab.ru/vulnerability/307275.php"]securitylab.ru[/URL]
Firefox «на службе» фишеров: кража реквизитов
Используя функцию Firefox, позволяющую запрашивать отдельные файлы из ZIP-архивов, злоумышленники могут обойти проверку вредоносного контента на популярных сайтах, утверждает ИБ-специалист Петко Петков (Petko Petkov). По утверждению г-на Петкова, уязвимость существует уже почти год, она описана в базе данных уязвимостей Mozilla, проекте Bugzilla. После публикации в блоге ею заинтересовался US-CERT и выпустил собственное уведомление, сообщает Heise-Security.co.uk. Атака межсайтового скриптинга – выполнения JavaScript-кода с одного сайта в контексте другого – в данном случае не является недостатком Firefox и может быть вызвана отсутствием проверки zip-файлов, допустимых к загрузке на популярных ресурсах, например, MySpace. Протокол jar позволяет обратиться к файлу в одноименном Java-архиве, который, по сути, является обычным zip-файлом. Злоумышленник может загрузить zip-архив, содержащий вредоносный файл, например, на MySpace, и создать ссылку на этот файл, например, jar:[url]http://site.com/archive.jar!/evil.htm[/url]. При переходе по ссылке файл evil.htm выполнится в контексте MySpace. Проблема заключается в том, что крупные сайты социальных сетей, как правило, не проверяют содержимое архивов, загруженных пользователем.
[URL="http://www.uinc.ru/news/sn8932.html"]uinc.ru[/URL]
