Firefox'ta şifre açığı
ahmetnet III - Temmuz 23 2007, Pazartesi - 23:22
Firefox 2.0.0.5 çıkalı daha birkaç gün olmuşken yeni bir açık karşımızda. Açık oldukça da ciddi; şayet Firefox'un şifrelerinizi hatırlamasına müsaade ediyorsanız "uygunsuz" bir javascript gömülü herhangi bir web sayfası ile kullanıcı adınız ve şifreniz öğrenilebiliyor.
Firefox 2.0'ın şifre hatırlatma uyarısı..
Denemesi de bedava: Alman Heise üşenmemiş ve açığı denemenizi sağlayan bir sayfa hazırlamış. Maalesef "çalışıyor":
http://www.heise-security.co.uk/services/browsercheck/demos/moz/pass1.shtml
Yeni bir güncelleme gelene veya bu özellik tümden iptal edilene kadar dikkatli olmanızı tavsiye ederiz. Açık tüm işletim sistemleri için geçerli. Cem arkadaşımız Mac Os altında Safari'nin de aynı açıktan etkilendiğini teyit ediyor. Fakat Camino gibi yine Gecko tabanlı bir diğer tarayıcı da örnek kod çalışmamış. Örnek kod Opera'da da çalışmıyor.
Firefox ekibi yine bu şifre hatırlama mekanizmasını kullanan ama bu sefer Javascript kullanmayan bir diğer açığı daha önce kapatmıştı. Tarayıcı, kullanıcı adı ve şifrenin gönderildiği hedef adresi o zamanlar kontrol etmemekteydi, bu eksik bilahare giderilmişti.
Kaynak:
http://lists.grok.org.uk/pipermail/full-disclosure/2007-July/064784.html
PCL Sözlük
Peki Noscript adlı eklentiyi kurduysak yine etkisi olur mu?
Faydalı olur elbette. Fakat Javascript'i iptal etmek..doğrusu ben cesaret edemem. Özellikle bu kadar Ajax vs kullanan site varken.
En temizi şifre işini Firefox'a bırakmamak.
Hala Firefox'u deli gibi savunanlar var. Güvenlik açıkları kapatıla kapatıla bitmedi. Opera en güzeli :)
NEDEN OLMASIN…
BENCE DÜNYANIN EN İYİ GEZGİNİ…
SEN KOLAYSA OPERA İLE AKBANK A GİR…
BAK BAKALIM ŞİFRENİ YAZABİLİYOR MUSUN?
IE DESEN, HATTA DEMESEN DAHA İYİ…:)
IE7 DE 3 TANE TAB AÇIYORUM 1.5GB RAM İLE 4. TAB FELC OLUYOR…
FIREFOX TA İSE EN SON 95-110 ARASINI GÖRDÜM "BANA MISIN?" DEMEDİ…
AYRICA FIREFOX UN BİNLERCE EKLENTİSİNİ DE UNUTMAMAK GEREK…
HAKSIZ MIYIM ARKADAŞIM…..?
açık bugün giderildi yeni sürümle
biliyorum konuyla ilgili deil ama windostai kayıtlı şifreleri yani msn online da girilen şifreleri bulma imkanım warmı ?