mozilla

Mozilla sniffer. Furto di password con un Add-on per Firefox

21 luglio 2010 in Sicurezza Informatica

Con un comunicato nel blog, Mozilla ha reso noto come un add-on , pubblicato il 6 Giugno 20010 è stato rimosso perchè pericoloso e nocivo per la sicurezza dei dati degli utenti che lo avevano installato.

Mozilla Sniffer,uno dei migliaia di add-on per Firefox, infatti trasmetteva le username e le password verso un indirizzo IP stabilito ogni volta che una form veniva compilata e inviata on line. L’IP in questione è 74.220.219.77, server localizzato in Amerca.

Questo il codice che indentifica le credenziali di accesso e le inoltra al server indicato precedentemente

Ho effettuato un trace dell’indirizzo del server che viene localizzato in America

Mozilla ha sottolineato che l’add-on Mozilla Sniffer si trovava in uno stato sperimentale tale da non essere controllato manualmente dal suo staff ( ). Ha inoltre precisato che , come tutti gli altri add-on in fase di testing, al momento del download vengono forniti degli avvisi sui potenziali rischi per la sicurezza, lasciando agli utenti la facoltà di procedere con l’installazione.

A prescindere da questo loro giustificazione appare abbastanza grave che un keylogger sia rimasto sul portale ufficiale degli add-on di Firefox per oltre un mese, un arco di tempo durante il quale, dai dati forniti da Mozilla, l’estensione è stata scaricata circa 1800 volte ed utilizzata quotidianamente da 334 utenti.

Mozilla ha già comunicato di ave provveduto ad inviare delle notifiche a tutti quelli utenti che avevano installato l’add-on incriminato, raccomandando loro di eliminarlo e di cambiare tutte le password utilizzate nel frattempo sul Web.

Mozilla ha inoltre cancellato dal suo portale la versione 3.0.1 di CoolPreviews, che a suo dire contiene una grave vulnerabilità di sicurezza causata dalla possibilità di eseguire codice Javascript da remoto. In ogni caso, è già disponibile la nuova versione rivista e corretta.

Risulta certamente singolare come l’attenzione rivolta da Mozilla nella ricerca di trojan, virus o exploit nei suoi prodotti non sia stata applicata in questo caso. Sbagliare è umano e infatti stanno lavorando a una nuova procedura per evitare che questo tipo di problema possa ripresentarsi in futuro..

Bug Hunter Wanted! Mozilla alza il premio !

20 luglio 2010 in Net Rumors, Sicurezza Informatica

Circa sei anni fa il quartier generale di Firefox presentò il Security Bug Bounty Program, un progetto decisamente interessante che premia coloro i quali identificano falle di sicurezza nel browser Firefox e nei loro altri prodotti. I premi furono da prima fissati in 500 dollari, ma è notizia di pochi giorni quella che riporta un aumento fino a 3000 dollari per tutti quelli esperti in sicurezza informatica che aiuteranno Mozilla a scovare bug nascosti nei loro prodotti.

Lucas Adamski, capo della divisione security engineering di Mozilla spiega con queste parole la loro iniziativa

“Molte cose sono cambiate nei sei anni dall’annuncio del nostro programma. Per questo sarebbero necessarie migliori condizioni economiche per chi fa “la cosa giusta”, ovvero per quegli esperti specializzati nella caccia ai bug.”

Una precisazione però è stata fatta dallo stesso, che ha sottolineato come Mozilla non riconoscerà nessuna ricompensa nel caso in cui ritenga che il lavoro svolto nella scoperta di falle di sicurezza e/o bug non sia stata condotto nel rispetto degli utenti stessi.

Ottima politica !