Robo de usuario y contraseña en Firefox 2.0

Se ha reportado una vulnerabilidad en el navegador Firefox, la cuál puede ser explotada maliciosamente para llevar adelante ataques de phishing.

Phishing es la técnica utilizada para obtener información confidencial mediante la suplantación de una persona o institución legítima (generalmente por medio de un "scam", mensaje electrónico fraudulento, o falsificación de página web).

La vulnerabilidad en Firefox, es causada por un error del administrador de contraseñas (Password Manager), que no verifica apropiadamente el URL antes de completar automáticamente los datos del usuario en los formularios de páginas Web.

Un URL (Uniform Resources Locator o Localizador Uniforme de Recursos), es un "apuntador" a la ubicación de cualquier archivo, como por ejemplo una página HTML (una dirección de Internet).

El fallo puede ser explotado por un atacante para robar las credenciales del usuario (nombre y contraseña), sin su conocimiento, a través de un formulario malicioso, cuando se visita un sitio Web.

La vulnerabilidad ha sido confirmada en la versión 2.0.0, pero versiones anteriores también podrían ser afectadas.

No existe una solución oficial al momento de esta alerta, pero los usuarios pueden disminuir el riesgo de ser víctimas de uno de estos robos de identidad, si desactivan la opción que permite recordar las contraseñas de los sitios Web en las preferencias del programa.

Está disponible una prueba de concepto con una demostración del uso de la vulnerabilidad.


Referencias:

Bug 360493
Cross-Site Forms + Password Manager = Security Failure
https://bugzilla.mozilla.org/show_bug.cgi?id=360493

CIS Finds Flaws in Firefox v2 Password Manager
http://www.info-svc.com/news/11-21-2006/

Firefox Password Manager Information Disclosure
http://secunia.com/advisories/23046/

Por Angela Ruiz