Depuis l'implémentation du protocole jar sous Firefox il y a 9 mois, une vulnérabilité n'a toujours pas été corrigée.

Le britannique Petko D. Petkov vient de démontrer une preuve de concept (Proof Of Concept) de cette faille avec la messagerie Gmail. La faille résulte d'une erreur de validation du type de contenus définis par le standard MIME dans le l'utilisation du protocole jar, utilisé pour l'extraction d'un fichier compressé (c'est à dire le même type d'erreur que nous avons connu avec quicktime).

L'exploitation est relativement simple, un fichier de type jar (malicieux) spécialement conçu est hébergé sur un site de confiance, l'attaquant envoie ensuite un email sur la boite gmail de la victime avec un URI jar: malicieux pointant vers ce fichier. Le contenu chargé venant donc d'un site de confiance, le code préparé s'exécute alors dans un environnement supposé sûr. On appelle ca une attaque par "cross site scritping" et le pirate accède à des données stockées sur le dit site de confiance.

Mozilla précise dans son blog de sécurité que le problème est pris au sérieux et que les futures versions de Firefox ne supporteront que les fichiers servis avec un type MIME correct (application/java-archive).

La mise à jour 2.0.0.10 de Firefox est en évaluation et devrait donc arriver d'ici quelques jours. Pour suivre notre actualité vous pouvez toujours vous abonner à notre flux RSS.