Robert Chapin på Chapin Information Services har rapportat en säkerhetsbrist i Mozilla Firefox 2. Också tidigare versioner kan vara drabbade. Chapin kallar bristen för Reverse Cross Site Request-vulnerability (RCSR). Sårbarheten ligger i hur webbläsaren hanterar sparade lösenord. Genom att skapa ett falskt formulär på en hemsida kan besökarens webbläsare triggas att fylla i sparade uppgifter om lösenord och inloggningsnamn.

Bristen kan utnyttjas genom vilken blogg eller hemsida som helst som möjliggör html-kod med vilken besökaren interagerar.

Sårbarheten har av Secunia inte betraktats som särskilt allvarlig, och graderas ”mindre kritiskt”, det vill säga den näst minst allvarliga nivån i en femgradig skala. Men det kan ändå vara idé att vara på sin vakt. På MySpace har utnyttjande av sårbarheten rapporterats.

Mest allvarlig är sårbarheten i Firefox, men drabbar enligt uppgift även Internet Explorer 7 i viss mån. I det senare fallet krävs det dock att RCSR-formuläret är på samma sida som det legitima.

Även den mer säkerhetsmedvetna kan drabbas, eftersom det också på sidor som ses som tillförlitliga går att lägga in kod som utnyttjar bristen.

- Användare av både Firefox och Internet Explorer bör känna till att uppgifter kan bli stulna på det här sättet när de besöker en blogg eller webbforum på adresser man litar på, säger Robert Chapin till Zdnet.

Någon patch finns ännu inte tillgänglig, men en lösning är att avaktivera funktionen för att komma ihåg lösenord.


Källa: Znet.

Se även diskussion på Mozilla.org.