Nuevo Firefox 1.0.1 corrige 17 vulnerabilidades

Redacción Silicon,

Disponible la nueva versión 1.0.1 de Firefox que corrige 17 vulnerabilidades de diversa consideración, entre otras el problema que favorecía los ataques phishing utilizando caracteres internacionales en el nombre de dominio.

Tal y como anunciamos a principios de mes, el problema se debe a un error en el tratamiento de IDN (International Domain Name), que permite el uso de caracteres internacionales en nombres de dominio. Esta circunstancia puede ser explotada para registrar nombres de dominio con ciertos caracteres internacionales que se parecen a otros de uso común, con lo que se puede engañar al usuario.

A efectos prácticos, es posible enlazar con un dominio que tiene la dirección http://www.payp?l.com/ y que el usuario visualice en su navegador la URL http://www.paypal.com/

Este tipo de vulnerabilidades son aprovechadas especialmente por los ataques phishing, ya que facilita engañar al usuario para que crea que se encuentra navegando en un sitio web legítimo, cuando en realidad estará introduciendo sus credenciales en el sitio web del atacante.

Este problema afectaba, además de a Firefox, a Konqueror, Mozilla, OmniWeb, Opera, Safari, Netscape. En esta ocasión se libraba Internet Explorer al no soportar IDN.

La nueva versión Firefox 1.0.1 corrige además otras vulnerabilidades, hasta un total de 17:

MFSA 2005-29 Internationalized Domain Name (IDN) homograph spoofing

MFSA 2005-28 Unsafe /tmp/plugtmp directory exploitable to erase user’s files

MFSA 2005-27 Plugins can be used to load privileged content

MFSA 2005-26 Cross-site scripting by dropping javascript: link on tab

MFSA 2005-25 Image drag and drop executable spoofing

MFSA 2005-24 HTTP auth prompt tab spoofing

MFSA 2005-23 Download dialog source spoofing

MFSA 2005-22 Download dialog spoofing using Content-Disposition header

MFSA 2005-21 Overwrite arbitrary files downloading .lnk twice

MFSA 2005-20 XSLT can include stylesheets from arbitrary hosts

MFSA 2005-19 Autocomplete data leak

MFSA 2005-18 Memory overwrite in string library

MFSA 2005-17 Install source spoofing with user:pass@host

MFSA 2005-16 Spoofing download and security dialogs with overlapping windows

MFSA 2005-15 Heap overflow possible in UTF8 to Unicode conversion

MFSA 2005-14 SSL “secure site” indicator spoofing

MFSA 2005-13 Window Injection Spoofing

Firefox 1.0.1 está disponible para su descarga en la dirección http://www.mozilla.org/products/firefox/