Firefox 2 è affetto da una vulnerabilità relativa alla gestione delle password. A darne notizia è la stessa Mozilla Foundation che ha quindi confermato l’esistenza di bug piuttosto pericoloso. La debolezza trova il suo punto di forza nella mancanza di controllo dell’indirizzo di destinazione per l’invio dei dati inseriti attraverso un form online. Questo faciliterebbe eventuali attacchi di cross-domain form, in cui il nome utente e la password memorizzati vengono trasmesse ad un altro dominio. Il bug è già stato segnalato lo scorso 27 ottobre, quando Netcraft comunicò le modalità di un attacco di phishing che inoltrava i dati di accesso degli utenti di MySpace.com verso un altro server. Chapin Information Services, in un advisory, chiarisce in modo esaustivo le modalità con cui potrebbe essere sfruttata la debolezza, mettendo inoltre a disposizione un test proof-of-concept per verificare il proprio browser. La vulnerabilità , denominata da CIS, Reverse Cross-Site Request (RCSR), può essere utilizzata in qualsiasi sito dove esista la possibilità di aggiungere codice html come i blog e alcuni forum.
Secondo CIS, il bug interessa anche Internet Explorer, ma con questo browser la debolezza può essere utilizzata esclusivamente se il codice malevolo risiede sulla stessa pagina autorizzata a ricevere i dati memorizzati. A titolo di cronaca abbiamo verificato che il problema è presente ovviamente anche in Firefox 1.5.0.8. In attesa del rilascio di una patch correttiva, agli utenti di Firefox 2 ed in genere a tutti gli utilizzatori di browser che utilizzano il sistema di gestione delle password di Mozilla, è vivamente consigliata la disabilitazione della memorizzazione dei dati di accesso inseriti nei form all’interno di pagine Web.
