Firefox lekt lokale bestanden
Beveiligingsonderzoekers hebben twee lekken in onderdelen van verschillende Firefox versies gevonden. Door een van de twee lekken kan de aanvaller in het ergste geval lokale bestanden stelen. Het tweede lek zorgt ervoor dat een site zich door het phishingfilter, het filter dat ervoor zorgt dat je niet per ongeluk op een site inlogt die heel veel lijkt op jouw banksite of een andere belangrijke site, heen kan wurmen.Het eerste probleem zit hem in de pop-up blocker. Normaal is het zo dat websites geen toegang tot lokale bestanden hebben, maar als de gebruiker een geblokkeerde pop-up toch toestemming geeft, dan wordt de URl-toegangscontrole omzeild, en is het mogelijk voor de website om lokale bestanden te lezen.
Om de aanval te laten werken moet een aanvaller de gebruiker zover weten te krijgen dat hij op een kwaadaardige link klikt, die een bestand met exploit code op het systeem installeert. Daarna verschijnt de melding of de gebruiker een pop-up wil toestaan om bijvoorbeeld een video af te spelen. Het al eerder geplaatste bestand wordt dan aangeroepen, waarna de aanvaller lokale leesrechten krijgt. Volgens de onderzoekers is dit probleem alleen aanwezig in Firefox 1.5.x.
Het tweede lek is meer een bug en bevindt zich in het phishing filter van Firefox 2.0.0.1. Om het filter te omzeilen kan een phishing site een aantal karakters aan de URL toevoegen. De URL werkt nog steeds, alleen wordt er geen waarschuwing meer door Firefox gegeven. Dit lek werd op 19 januari aan Mozilla bekend gemaakt.
