WINDOWS UPDATE
Accueil
Envoyer à un ami
Version imprimable
Augmenter la taille du texte
Diminuer la taille du texte
En effet, la faille de sécurité révélée par le chercheur Moxie Marlinspike résulte d’une mauvaise gestion du traitement de certains caractères dans la barre d’URL. Lors de l’enregistrement d’un nom de domaine, il est possible de spécifier des caractères ne faisant pas parti du standard ASCII, il s’agit alors d’un IDN (Nom de domaine internationalisé).
La plupart des navigateurs internet interprètent ces caractères non ASCII et les affichent dans la barre d’URL.
Le problème révélé vient de l’affichage d’un caractère non ASCII "/" se révélant être très proche graphiquement du symbole slash "/" ASCII. Ainsi, un pirate enregistrant un nom de domaine contenant ce caractère non ASCII peut duper l’utilisateur quant au site visité.
Le site http://www.xmcopartners.com/pirate.com pourrait alors être pirate.com et non pas www.xmcopartners.com comme on pourrait le penser
Cette vulnérabilité affectait 4 ans plus tôt les navigateurs Safari et Opera.
Source de l'article et suite GLOBALSECURITY MAG (FR/EN)
Correction :
Aucun correctif n’est disponible pour le moment. Cependant, une mesure de contournement est possible en désactivant le support des IDN via l’interface about:config
LizaMoon : la plus grande attaque par injection SQL ?
