jeudi 22 septembre 2005

PwnZilla 5 exploite le débordement de tampon des liens IDN

Le webblog Security Fix du washingtonpost.com signale qu’un exploit d’un bogue de sécurité de Mozilla a été diffusé. Le code PwnZilla 5 tire profit de la faille de dépassement de mémoire tampon pour les liens des noms de domaine internationalisés (IDN), dont les détails ont été publiées au début du mois. Le billet du weblog indique que le code de l’exploit « pourrait permettre à des attaquants de prendre complétement le contrôle d’ordinateurs naviguant sur le Web avec des versions non corrigées du navigateur Web Firefox ». Les précédents exploits publics de la vulnérabilité ont été des démonstrations du bien-fondé de la conception qui plantent simplement le navigateur.

L’exploit, créée par Berend-Janv. « SkyLined » Wever, peut être utilisé contre des versions vulnérables de Mozilla Firefox, la suite Mozilla et le navigateur Netscape 8. Les dernières versions de Firefox 1.0.7 et Mozilla 1.7.12, qui ont été mises à disposition au cours des derniers jours, ne sont pas affectées étant donné qu’elles intègrent toutes deux un correctif de la faille. Cependant, il n’y a aucun correctif disponible pour le navigateur Netscape 8 (actuellement en version 8.0.3.3), cependant l’exploit fonctionne apparemment moins bien avec ce navigateur.

Brian Krebs l’auteur de Security Fix dit que « le code est conçu pour être inclus sur un site Web de sorte que n’importe quel ordinateur (sic) visitant le site malveillant avec Firefox ou Netscape ouvre une ligne de communication avec un autre adresse Internet au choix de l’attaquant, laissant effectivement de mauvais garçons contrôler à distance l’ordinateur de la victime. » Il cite FrSIRT comme source de cette analyse mais la copie de FrSIRT du code de PwnZilla 5 ne semble pas inclure cette information.

SkyLined l’auteur de l’exploit crédite plusieurs personnes de l’avoir aidé à la création de PwnZilla 5. Dans sa description du code, il dit, « puisque Netscape n’a pas répondu aux rapports au sujet de cette vulnérabilité j’ai choisi de le diffuser. » Cependant, il continue de le qualifier en déclarant que l’exploit est optimisé pour Firefox (qui a une version avec le correctif disponible) et fonctionne rarement avec Netscape (lequel n’en a pas).

Tous les utilisateurs de Firefox 1.0.x et de Mozilla 1.x qui n’ont pas fait la mise à niveau respectivement en 1.0.7 et 1.7.12 sont avisés de le faire immédiatement (voir notre article sur la sortie de Firefox 1.0.7 et notre article sur la sortie de Mozilla 1.7.12 pour plus de détails). Il convient de noter que Firefox 1.5 bêta 1 est vulnérable à la faille, ainsi les utilisateurs devraient retourner à une version pour utilisateur final de Firefox (c’est-à-dire, 1.0.7) ou mettre à jour avec une compilation nocturne plus récente de Firefox issue de la branche 1.8. SeaMonkey 1.0 alpha n’est pas affecté par la vulnérabilité (mais la version Linux s’expose au risque de bogue de sécurité d’analyse d’URL de la ligne de commande sur Linux).

La semaine dernière, CNET News.com a averti que des hackers travaillaient probablement aux exploits de la faille IDN. La vulnérabilité a été à l’origine rapportée à la fondation Mozilla par Tom Ferris, qui a choisi de la rendre publique avant que des versions corrigées de Firefox et de la suite Mozilla soient diffusées. John Stith journaliste de SecurityProNews a interviewé Tom Ferris au sujet de la vulnérabilité IDN la semaine dernière, donne plus de compréhension sur pourquoi Ferris a choisi de publier les détails de la faille. L’article de Stith déclare : « il [ Ferris ] a également commenté que quand il a initialement soumis toute l’information à Mozilla, ils semblaient en désaccord et il s’est senti offensé par eux… Microsoft l’a toujours  »traité davantage comme un professionnel. « Il dit qu’il a estimé que les gens de chez Mozilla l’ont traité davantage comme un gosse. »

Merci à Roseman pour le lien sur le billet weblog Security Fix.