Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !
Une ancienne faiblesse de Firefox exploitable par un fichier HTML

Le chercheur Barak Tawily a décrit à The Hacker News une méthode d’attaque exploitant un choix fait par Firefox il y a 17 ans et décrit régulièrement comme une faiblesse.

Le problème réside dans la Same Origin Policy (SOP), qui définit les permissions URI (Uniform Resource Identifier) pour « file:// ». La SOP n’est pas un standard. Il dispose bien d’une RFC publiée par l’IETF, mais n’est pas défini clairement. Chaque navigateur l’implémente donc à sa manière.

Dans le cas de Firefox, on part du principe que tous les fichiers dans un dossier donné ont les mêmes droits. Ce qui a permis au chercheur de publier un prototype d’exploitation.

En amenant l’utilisateur à télécharger et ouvrir un simple fichier HTML, il devient possible de récupérer la liste complète des fichiers résidents dans le même dossier (y compris les sous-dossiers), d’en lire le contenu grâce à l’API Fetch et d’envoyer toutes ces données à un serveur distant via des requêtes HTTP.

Selon le chercheur, toutes ces activités peuvent se faire en arrière-plan en quelques secondes sans que l’utilisateur ne remarque quoi que soit. Il faut « simplement » l’amener à télécharger et ouvrir le fameux fichier.

Ce qui n’est pas forcément compliqué, car les fichiers HTML ne sont pas connus pour être suffisants au déclenchement d’attaques. Un peu d’ingénierie sociale ou une éventuelle arnaque au clic peut suffire.

On ne sait pas vraiment encore ce que Mozilla compte faire, car la SOP a le même fonctionnement chez l’éditeur depuis 17 ans maintenant. La modifier pourrait donc créer des problèmes.

Notez que les chercheurs ne sont pas nécessairement d’accord entre eux sur ce qu’il convient d’appeler un bug ou pas. Le choix de Mozilla comporte une faiblesse exploitable, mais ne semble pas pouvoir se ranger dans la catégorie des « vraies » failles.

6 commentaires
Avatar de Totoxoros INpactien
Avatar de TotoxorosTotoxoros- 05/07/19 à 14:05:43

Un peu comme il "suffit" de lui envoyer un fichier Office vérolé, ou un jpg d'Anna Kournikova nue quoi...

Avatar de sksbir INpactien
Avatar de sksbirsksbir- 05/07/19 à 15:24:04

on sent l'expérience vécue ... :mdr::mdr:

Avatar de Wizou Abonné
Avatar de WizouWizou- 05/07/19 à 16:01:02
Avatar de Chocolat-du-mendiant Abonné
Avatar de Chocolat-du-mendiantChocolat-du-mendiant- 05/07/19 à 23:09:34

En gros, si pour une raison x ou y on doit absolument ouvrir un fichier .html en local, au préalable, il vaut mieux le déplacer dans un répertoire où il sera tout seul.

Avatar de darkweizer Abonné
Avatar de darkweizerdarkweizer- 06/07/19 à 10:18:52

Chocolat-du-mendiant a écrit :

En gros, si pour une raison x ou y on doit absolument ouvrir un fichier .html en local, au préalable, il vaut mieux le déplacer dans un répertoire où il sera tout seul.

Exactement ! Je ne le savais pas non plus, et n'utilisant que FF, c'est toujours bon à savoir 😀

Avatar de Totoxoros INpactien
Avatar de TotoxorosTotoxoros- 08/07/19 à 17:14:37

J'ai fait de la maintenance de parc pendant 10 ans entre 1997 et 2007. Donc oui :-)

Il n'est plus possible de commenter cette actualité.