=/= Firefox file download spoofing vulnerability  =/=
_ 2008-12-25 20:15:48 _

Testirajuci browser-e u situacijama kada korisnik skida (download-uje) fajlove
sa web sajtova, uocio sam gresku u samom dizajnu ove akcije, u Mozilla Firefox
browser-u.

Moguce je pripremiti takve scenarije u kojima ce korisnik biti obmanjen
prilikom skidanja odredjenog fajla, i moguce je naterati ga da skine nezeljeni
fajl.

Metod 1: Mozemo pokrenuti dva zahteva za download u isto vreme i poredjati
prozore jedan iza drugog. Ukoliko su imena fajlova ista korisnik moze kliknuti
dvaput na dugme za potvrdu.

Metod 2: Mozemo prikazati korisniku sliku u samom prozoru browser-a, a u isto
vreme pokrenuti i download fajla sa istim imenom ali razlicitom lokacijom.

Obe situacije najbolje mozete razumeti na primerima.

Propust nije kritican ali postoje bolja resenja. U ostalim browser-ima su
primenjena drugacija resenja, poput postavljanja prozora za download na vrh
(topmost - korisnik ne moze da vrsi interakciju sa drugim prozorima).

Secunia je obavestena i ovo nije kategorizovano kao ranjivost jer u prozoru za
download pise ime fajla (ali ne i putanja) i ime domena.
Mozilla je takodje obavestena ali nisam dobio odgovor.

U svakom slucaju dobro je znati kakve sve previde (da ne kazem propuste)
napadaci koriste u svojim napadima. Advisory mozete naci ovde: Firefox file
download spoofing.