Fehler im Kennwort-Manager von Firefox 2.0

Angreifer können Zugangsdaten ausspähen

Im Kennwort-Manager von Firefox 2.0 steckt ein Programmfehler, über den Angreifer Zugangsdaten abgreifen können. Entsprechende Angriffe sollen bereits über gefälschte MySpace-Seiten laufen. Der Fehler liegt darin, dass der Kennwort-Manager nicht prüft, ob die Daten das richtige Ziel erreichen.

Der Kennwort-Manager in Firefox 2.0 merkt sich die Zugangsdaten von Webseiten, sofern der Nutzer dies gestattet. Damit wird die Anmeldung auf Webseiten vereinfacht. Dieser Mechanismus soll ein Sicherheitsleck aufweisen, so dass Angreifer über ein Cross-Site-Formular Zugangsdaten abgreifen können. Der auf Mozillas Bugzilla beschriebene Fehler wird bereits ausgenutzt, indem gefälschte MySpace-Seiten zur Eingabe der Anmeldedaten auffordern.

Die manipulierten MySpace-Seiten senden ihre Daten an einen Lycos-Server und die Kennwort-Funktion in Firefox 2.0 überprüft nicht, ob die Zieladresse korrekt ist. Somit können Anmeldedaten in fremde Hände gelangen. Bislang gibt es keinen Patch für Firefox 2.0, um sich vor solchen Angriffen zu schützen.