close
Firefox 對 DOM (Document Object Model) 屬性 "location.hostname" 處理不當,使得攻擊者有機會取得使用者含有機密資料的 Cookie 檔案。
此漏洞的關鍵在於 Null 字元 ("\x00")。當攻擊者將惡意網站的 "location.hostname"設為 "attackersite.com\x00trustedsite.com",Firefox 會認為是 "trustedsite.com",而將使用者的 cookie 檔案送到 "attackersite.com"。
受影響版本:2.0.0.1 或 其他 (未測試過)
如果你想要觀看此漏洞的展示,請看這裡。
雖然,你可以找到暫時性的解決方案,但對一般使用者來說,可能不會設定,所以,還是使用 Firefox 提供的自動更新,如下圖所示:
另外,再一次提醒各位,請勿瀏覽來路不明的網站。
至於詳細的資訊,請參考:
Zalewski cookie setting / same-domain bypass vulnerability
Firefox Same-Domain Bypass Vulnerability (NULL Character)
此漏洞的關鍵在於 Null 字元 ("\x00")。當攻擊者將惡意網站的 "location.hostname"設為 "attackersite.com\x00trustedsite.com",Firefox 會認為是 "trustedsite.com",而將使用者的 cookie 檔案送到 "attackersite.com"。
受影響版本:2.0.0.1 或 其他 (未測試過)
如果你想要觀看此漏洞的展示,請看這裡。
雖然,你可以找到暫時性的解決方案,但對一般使用者來說,可能不會設定,所以,還是使用 Firefox 提供的自動更新,如下圖所示:
另外,再一次提醒各位,請勿瀏覽來路不明的網站。
至於詳細的資訊,請參考:
Zalewski cookie setting / same-domain bypass vulnerability
Firefox Same-Domain Bypass Vulnerability (NULL Character)
全站熱搜
留言列表