Une vieille faille de retour dans Firefox

[philae]

Bonjour Philae. En principe cette faille est corrigée depuis la version 1.0.1 et l'application du punycode. Autre mèthode à tester :

 

si dans about:config tu tapes IDN dans la fenêtre filtre et que tu règles les valeurs comme suit :

 

Network.IDN_show-punycode (valeur à règler sur true)

Network.enableIDN (valeur à règler sur false)

 

et que tu fais le test sur Secunia :

 

http://secunia.com/multiple_browsers_idn_spoofing_test/

 

tu dois avoir une page blanche qui s'affiche avec un message d'alerte t'indiquant que paypal.com est introuvable (la page ou l'on voulait te rediriger est donc innaccessible, ce qui me paraît être une sécurité supplémentaire). 

514250[/snapback]

 

Merci pour vos réponse. Megataupe, effectivement, j'avais déjà ces valeurs là d'indiquées. J'ai fait le test, c'est ok.

 

bonne journée à tous

[TheClem]

Cette faille n'est pas celle relative à la gestion, des IDN, qui est d'ailleur corrigée il me semble. Il s'agit d'un problème permettant à une fenêtre d'interagir avec une autre.

[megataupe]

Bonjour The Clem. En effet, il s'agit d'un problème de cadre et le test à faire sur secunia est révélateur de cette faille :

 

http://secunia.com/multiple_browsers_frame...erability_test/

 

Ce qui m'étonne, c'est que la fondation Mozilla ou les forums de geckozone n'ont pas bronché à l'annonce de la diffusion de cette vieille faille non encore corrigée.

[TheClem]

Il me semble qu'elle fût corrigée mais que par mégarde elle est revenue avec le temps.

Je vais rédiger un petit truc ce soir expliquant tout ça

[megataupe]

Merci pour tes cogitations The Clem car, tout ça n'est pas très clair du coté Mozilla :

 

http://www.geckozone.org/forum/viewtopic.php?t=24686

[TheClem]

Investi d'une flemme immense je vais me contenter de revenir sur quelques points.

 

Cette faille permet de modifier le contenu d'une fenêtre depuis une autre fenêtre, cela présente un risque car un site "malsain" pourrait modifier le contenu d'un site sur lequel transitent des données confidentielles si ils étaient ouverts tous les deux en mêmes temps.

 

Ce bug n'affecte pas seulement Firefox mais une grande majorité des navigateurs. Vous pouvez faire le test sous Internet Explorer par exemple cela fonctionnera aussi bien que sur Mozilla/Firefox.

 

La démonstration du bug de Secunia peut même ne pas fonctionner sur Firefox si vous utilisez les onglet - cela ne signifie pas pour autant que vous êtes en sécurité.

 

A l'heure actuelle le seul conseil que je peux donner c'est de ne pas consulter de site sur lesquels transitent des données importantes (banque par exemple) alors que vous consultez des sites d'origine inconnue.

 

Je pense que le bug devrait être fixé dans Firefox aussi rapidement qu'il avait été fixé lors de sa précédente apparition il ya un an.

 

Plus d'informations:

http://secunia.com/multiple_browsers_frame...erability_test/

https://bugzilla.mozilla.org/show_bug.cgi?id=296850

http://www.pcinpact.com/actu/news/Une_fail..._chez_Mozil.htm

http://www.geckozone.org/forum/viewtopic.php?t=24686

[philae]

Investi d'une flemme immense je vais me contenter de revenir sur quelques points.

 

Cette faille permet de modifier le contenu d'une fenêtre depuis une autre fenêtre, cela présente un risque car un site "malsain" pourrait modifier le contenu d'un site sur lequel transitent des données confidentielles si ils étaient ouverts tous les deux en mêmes temps.

 

Ce bug n'affecte pas seulement Firefox mais une grande majorité des navigateurs. Vous pouvez faire le test sous Internet Explorer par exemple cela fonctionnera aussi bien que sur Mozilla/Firefox.

 

La démonstration du bug de Secunia peut même ne pas fonctionner sur Firefox si vous utilisez les onglet - cela ne signifie pas pour autant que vous êtes en sécurité.

 

A l'heure actuelle le seul conseil que je peux donner c'est de ne pas consulter de site sur lesquels transitent des données importantes (banque par exemple) alors que vous consultez des sites d'origine inconnue.

 

Je pense que le bug devrait être fixé dans Firefox aussi rapidement qu'il avait été fixé lors de sa précédente apparition il ya un an.

 

Plus d'informations:

http://secunia.com/multiple_browsers_frame...erability_test/

https://bugzilla.mozilla.org/show_bug.cgi?id=296850

http://www.pcinpact.com/actu/news/Une_fail..._chez_Mozil.htm

http://www.geckozone.org/forum/viewtopic.php?t=24686

514617[/snapback]

 

 

merci d'avoir résumé cette info.

[Léon9]

on peut supprimer cette faille dans Internet Explorer et ses surcouches (Avant Browser, Maxthon, etc). Pour cela dans options internet à l'onglet securité - personaliser le niveau - désactiver "navigation de sous-cadre sur differents domaines"