Spoofing-huller i Firefox, IE og Opera

Full Disclosure-listen har her til morgen tre fejl i de forskellige web-browsere, som man bør være opmærksom på, da der endnu ikke er er udgivet fejlrettelser.

Der er en fejl i den måde Firefox håndterer URI'er, der er blevet gemt i cachen. Egentlig burde brugeren slet ikke have adgang til link i den såkaldte "wyciwyg"-cache, men Zalewski har opdaget forskellige måder hvorpå en angriber kan bruge indholdet til at lave angreb på. Et af disse angreb indebærer også et brud på "same domain poicy"-checks, og gør et cross-site-scripting-angreb muligt.
Zalweski advarer, at specielt web-mail og andre web 2.0-services, samt mange bankers hjemmesider, er sårbare.
Læs mere om hullet i Zalewskis indlæg her.

I Internet Explorer er det muligt at lave et angreb, hvor at den angrebne ikke aner noget om det. Det sker ved at forfalske URL'et i adresselinien. En bruger tror at han er surfet væk fra siden, men i virkeligheden ser han stadig sider, der er blevet lavet af en angriber. Læs Zalewskis beskrivelse her.

Et andet angreb går efter Opera og Konqueror-browserne. ved at bygge en hjemmeside på en bestemt måde kan angriberen omdirigere browserne, uden at URL'et viser tegn på det. Læs mere i Robert Swieckis indlæg her.