Actu
Vigil@nce : Firefox 3.0, absence de warning
juin 2008 par Vigil@nce
SYNTHÈSE
Lorsque l’utilisateur clique sur une uri comme mailto, et que
l’affichage d’un message d’avertissement est configuré, ce message
n’apparaît pas.
Gravité : 1/4
Conséquences : camouflage
Provenance : document
Moyen d’attaque : aucun démonstrateur, aucune attaque
Compétence de l’attaquant : expert (4/4)
Confiance : source unique (2/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 19/06/2008
Référence : VIGILANCE-VUL-7903
PRODUITS CONCERNÉS
– Mozilla Firefox [versions confidentielles]
DESCRIPTION
Lorsque l’utilisateur clique sur un uri "mailto:", un logiciel
externe est appelé pour composer un email. L’utilisateur peut
configurer Firefox afin qu’il soit prévenu avant l’ouverture du
logiciel, via about:config :
network.protocol-handler.warn-external.mailto = true
network.protocol-handler.warn-external.news = true
network.protocol-handler.warn-external.nntp = true
network.protocol-handler.warn-external.snews = true
Cependant, Firefox 3.0 ne respecte pas cette configuration et
ouvre directement le logiciel externe.
Si le logiciel externe comporte une vulnérabilité, elle sera donc
exploitée dès que l’utilisateur aura cliqué sur le lien.
CARACTÉRISTIQUES
Références : VIGILANCE-VUL-7903
