Exploit dans Firefox
Par Bertrand Arquilliere le mardi 29 mai 2007, 10:29 - Sécurité des SI - Lien permanent

Une faille de sécurité dans FF (version <= 2.0.3), permet d'obtenir des informations sur votre machine, ou de voler des informations...
A titre de preuve j'ai crée une page HTML qui affiche le répertoire dans lequel votre Firefox est installé.
Ne fonctionne qu'avec Firefox dans une version infèrieure ou égale à la 2.0.3.
L'exemple est ICI
Cet exemple n'est, en fait, pas une preuve réelle de la faille mais juste une introduction.
Dans mon exemple j'utilise
href="resource://gre/browserconfig.properties"
En effet, Firefox a le droit de naviguer dans les répertoires situés à cet endroit là sur le disque, or il est démontré qu'en remplaçant le / par un %5C, Firefox ne sanityze pas correctement l'input. Permettant ainsi à une page web mal intentionnée de vérifier la présence de fichiers n'importe où sur votre disque et éventuellement de les récupérer.
Exemple :
Imaginons que vous avez un fichier de comptabilité dans c:\compta\compta.xls, une page web spécialement créée comportant 'href="resource://gre/..%5C..%5C..%5C..%5C..%5Ccompta%5Ccompta.xls"'', permettrait donc à un utilisateur mal intentionné de vous envoyer un lien vers cette page malicieuse, traversant ainsi les répertoires auxquels Firefox ne devrait pas avoir accès.
Quel serait le prix des informations ainsi récupérées s'il s'agissait de votre carnet d'adresses outlook ? Ou bien de la comptabilité de votre entreprise ? Ou bien la sauvegarde de la configuration de votre firewall ?
Car s'il est possible de traverser les répertoires à la recherche d'un fichier, il est possible de traverser les répertoires pour en lister le contenu.
EDIT : J'ai modifié la page HTML en lien afin de tenter d'explorer C/Program Files à la recherche d'un produit Symantec, d'un outil : putty et d'un exécutable qui n'existe pas : toto.exe. Ce ne sont que des exemples et je serai amené à ajouter d'autres exemples pour couvrir un maximum de possibilités
La nouvelle version de Firefox (2.0.4) devrait corriger ce problème.


![M'envoyer un email; Remplacer [AT] par @ M'écrire](/public/courrier.gif)





Commentaires
En as tu fais part à Firefox ?
Il me semble qu'on peut leur signaler des bugs, etc...
Oui, Firefox est informé de cette faille, je n'en suis d'ailleurs pas "l'inventeur", J'ai juste écrit vite fait une petite page HTML afin de comprendre cette faille et la façon de l'exploiter.
C'est pour ça que j'affirme que cette faille sera corrigé dans firefox 2.0.4 (pour Windows, il semblerait que ce ne soit pas corrigé pour les versions Linux et Mac)
même si c'est amusant de lire la compo de son PC (et tu as été 'gentil' dans ta page de test), c'est toujours vexant de voir son ordi ainsi découvert malgré les protections que l'on apporte
Mozilla devrait inciter une maj chez tous ses 'clients' dès que la correction sera apportée
La MàJ de Firefox est automatique chaque fois qu'une nouvelle release est disponible.
Encore une fois pour vous évitez ce genre de mésaventure je vous invite a installer l'addon "NoScript".
Have Fun
Sa m'a un peu surpris et surtout mon entourage...
Mais en tout cas ce genre de faille peut être dangereuse...
En tout cas simpa pour le rapport, sa aide de savoir ce genre de chose...