Pour info aux firefoxiens
reçu ce matin une note du certa
Le gestionnaire de mots de passe de Firefox permet à un utilisateur
naviguant sur un site web présentant un formulaire d'authentification
d'enregistrer son identifiant et son mot de passe d'accès ce site.
Lors des visites ultérieures sur ce site et si le gestionnaire de mots
de passe est activé, ce gestionnaire remplit le formulaire
d'authentification à la place de l'utilisateur.
Le gestionnaire ne vérifie pas correctement l'adresse réticulaire (URL)
associée au formulaire avant de remplir les champs d'authentification.
Cette erreur permet le vol d'identifiants et de mots de passe et facilite
le filoutage (phishing).
La vulnérabilité est avérée pour la version 2.0 et suspectée pour les
versions 1.x.
Le contournement provisoire consiste :
- à ne pas utiliser le gestionnaire de mots de passe et
- à supprimer les messages déjà enregistrés, après les avoir visualisés,
si besoin.
De manière générale, l'enregistrement de mots de passe n'est pas recommandé.
Cordialement,
Le CERTA