Debilidad en autenticación de Mozilla y Firefox


Los mecanismos de autenticación en el protocolo HTTP, están definidos en el documento RFC 2617 del IETF (The Internet Engineering Task Force). Allí se establece que se deben utilizar mecanismos de desafío-respuesta, intercambiándose varias solicitudes y respuestas entre el cliente y el receptor.





Firefox y Mozilla, poseen una vulnerabilidad en la implementación de dicho mecanismo, que es utilizado para autenticarse al acceder a sitios web que lo requieran.

Un impacto potencial de esta vulnerabilidad es que un mecanismo de autenticación débil (por ejemplo solo texto), puede ser seleccionado por el navegador en lugar de uno más poderoso ofrecido por el servidor.

Esto implica que los datos entre usuario y servidor podrían ser codificados en BASE64, que no es un estándar de encriptación, y los datos viajarían codificados en simple texto, pudiendo ser decodificados mediante simples algoritmos facilitando un ataque del tipo "Man-in-the-Middle", donde el atacante se convierte en un intermediario de la información transmitida, pudiendo capturar la misma.

Se han publicado varias demostraciones de esta debilidad y no se requieren exploits para la misma.


* Software afectado:

- Mozilla Firefox 1.5 Beta 1
- Mozilla Firefox 1.0.6
- Mozilla Browser 1.7.11

También versiones anteriores pueden ser afectadas.


* Solución:

Según el reporte, Mozilla fue notificado en julio de 2005, pero al momento de esta alerta (14/set/05), no existen aún soluciones oficiales.


* Referencias:

Mozilla / Mozilla Firefox authentication weakness
http://www.security.nnov.ru/Jdocument717.html

Mozilla Firefox cleartext password leak
http://www.security.nnov.ru/Fnews19.html


* Créditos:

3APA3A (www.security.nnov.ru)
Fuente:
Por Angela Ruiz
vsantivirus.com



Otras noticias de interés:

Windows Vista, peor parcheado que windows XP
Microsoft ha parcheado 12 de 27 vulnerabilidades de Vista en los seis meses posteriores a su lanzamiento, mientras que durante los seis primeros meses de vida de XP se corrigieron 36 de 39....
Google podría lanzar Chrome OS antes finales de año
En el marco de Computex, un alto ejecutivo de Google ha fijado para finales del otoño de 2010 como posible fecha de lanzamiento para el sistema operativo Chrome OS....
COMO HACER PREGUNTAS DE MANERA INTELIGENTE EN UN SITIO DE HACKERS
Interesante artículo presentado en nuestra Web Amiga Infohackers.org , en la cual se explica de una forma detallada la forma correcta de preguntar dentro de un foro - lista - grupo - canal Hack underground. ...
Microsoft publica alerta: Vulnerabilidad 0-day en versiones anteriores a IE 9
Microsoft acaba de publicar un aviso de seguridad para informar y alertar sobre una nueva vulnerabilidad descubierta recientemente en su navegador y que podría permitir la ejecución remota de código arbitrario....
Mozilla confirma un fallo crítico en Firefox
Mozilla ha calificado la vulnerabilidad como crítica y ha explicado que podría generar la ejecución remota de código por parte de un atacante....
Los servicios web abren a los hackers una amplia brecha de asalto
En su prisa por implementar servicios web, algunas empresas pueden estar exponiéndose a nuevos riesgos de seguridad de los que aún no son plenamente conscientes, según han advertido algunos expertos en seguridad en el marco de la conferencia CanSe...
Otra más hackeada, le toco el turno al Ministerio de Educación Superior
Siguen en aumento los sitios del Gobierno que estan sufriendo de desface ...
Denegación de servicio en "in.telnetd" de Sun Solaris
Se ha anunciado la existencia de una vulnerabilidad en Solaris que puede ser explotada por usuarios locales maliciosos para provocar una denegación de servicio en los sistemas vulnerables. ...
Solucionado doce fallos en #QuickTime
Apple ha solucionado doce fallos de seguridad en su reproductor multimedia con el lanzamiento de Quicktime 7.7.1....
Nuevo parche para SQL Server 2000 SP2
Microsoft ha publicado un parche para cubrir dos nuevas vulnerabilidades que afectan a SQL Server 2000 y MSDE 2000...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • autenticacion
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • debilidad
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra