Forum ou l'on peut parler de musique, ciné, sport, jeux video, manga, informatique, littérature

Si vous avez une question ou une news pour l'un de ces sujets, n'hésitez pas
 
AccueilAccueil  PortailPortail  CalendrierCalendrier  GalerieGalerie  FAQFAQ  RechercherRechercher  S'enregistrerS'enregistrer  MembresMembres  GroupesGroupes  Connexion  

Partagez
 

 faille firefox

Aller en bas 
AuteurMessage
seb44
Animateur et Modérateur
Animateur et Modérateur
seb44

Masculin
Nombre de messages : 1111
Age : 28
Localisation : Pas loin de nantes
Date d'inscription : 17/03/2006

Feuille de personnage
Accès à la Culture !: 100

faille firefox Empty
MessageSujet: faille firefox   faille firefox EmptyDim 21 Mai - 14:01

La nouvelle faille découverte cette semaine par le site Securityview est présentée comme un « déni de service » affectant le navigateur vedette Firefox. Un Proof-Of-Concept (PoC) a été développé et distribué à la communauté. Il s'agit d'un code Javascript placé dans une page HTML qui, lorsqu'elle est interprétée par le butineur, déclenche l'ouverture du client de messagerie email de la victime.

Jusque-là, rien dangereux me direz-vous ? Sauf que si la commande permettant l'ouverture du client de messagerie (Outlook, Thunderbird par exemple) est placée dans une boucle qui va exécuter la même opération plusieurs centaines de fois, la machine de la victime s'écroule et le redémarrage devient nécessaire pour retrouver l'usage de l'ordinateur. C'est ce que l'on peut appeler un « déni de service ».

Cette fameuse commande permettant l'ouverture du client de messagerie est en fait un lien « MAILTO » encapsulé dans un tag HTML « IMG SRC ». Rien de très sorcier donc, si ce n'est que cette commande ne nécessite aucune interaction (donc aucun clic) avec l'utilisateur pour être exécutée. Là est le danger.

Chacun connaît par cœur les fondamentaux de la sécurité informatique qui sont, je le répète pour les deux du fonds qui ne suivent pas, l'intégrité, la confidentialité et la disponibilité. Dans le cas qui nous intéresse, seule la disponibilité de la machine est remise en question par cette faille. Tant que la confidentialité ou l'intégrité des données ne sont pas mises en péril, on ne peut considérer cette faille comme critique.

Pourtant, l'heure n'est pas aux réjouissances ni au soulagement. Si aujourd'hui cette vulnérabilité n'est pas si dangereuse que la presse pourrait le clamer, il est toujours temps demain de trouver un moyen de l'exploiter afin d'exécuter des commandes arbitraires sur la machine de la victime. Les chercheurs planchent d'ores et déjà sur le sujet ...

Pour le moment, Mozilla n'a pas diffusé d'alerte pour cette pseudo-faille. Seule option pour les internautes qui souhaitent s'en protéger : désactiver Javascript et/ou le lien « mailto ».

_________________
faille firefox Seb4427ycfaille firefox 26fs
Revenir en haut Aller en bas
Voir le profil de l'utilisateur
 
faille firefox
Revenir en haut 
Page 1 sur 1
 Sujets similaires
-
» [INFO] A quand Firefox sur mon Leo ?
» FIREFOX Désactiver la notification des extensions absentes
» FIREFOX 3 = Grosse daube en carbone à rien !
» Firefox 4.0
» Firefox 3.6.12 et Thunderbird 3.1.6

Permission de ce forum:Vous ne pouvez pas répondre aux sujets dans ce forum
Forum ou l'on peut parler de musique, ciné, sport, jeux video, manga, informatique, littérature :: Informatique :: News-
Sauter vers: