Las cookies se utilizan a menudo para identificar y para autentificar a los usuarios en una web. Pero si un atacante pudiese robar estas cookies podría identificarse como el usuario al que ha robado dichas cookies…y esto es factible en Safari/Mozilla.
Se ha detectado que Mozilla tiene un bug que permite a un atacante robar las cookies de un usuario, Esto se consigue convenciendo al usuario a que entre en una URL especifica y dicha URL cotiene una página que tiene script ( puede ser una etiqueta de imágen ) que permite acceder a todos los datos de las cookies que posees.
Este bugs también afecta a Safari, Camino, Netscape 6,1, Upgrade a Netscape 6.2.1 o Mozilla 0.9.7. y superior.
Puedes descargarte el soft que soluciona el bug aquí.
Puedes leer la noticia completa aquí.
No acabo de entenderlo. La noticia habla de un bug en Mozilla y el parche parece que esta dirigido a Safari. Transcribo las instrucciones de instalación:
How To Install
put «CookieMonsterFix» folder into
/Users/your account/Library/InputManagers/
or
/Library/InputManagers/
If «InputManagers» does not exist, create new folder.
Here is directory structure.
…/InputManagers/CookieMonsterFix/CookieMonsterFix.bundle
…/InputManagers/CookieMonsterFix/Info
And (re)launch Safari, then patch will apply.
Usage
fix this bug
http://alive.znep.com/~marcs/security/mozillacookie/
Safari and almost WebKit-related Application have this bug.
install this InputManager, and try
http://alive.znep.com/~marcs/security/mozillacookie/demo.html
with Safari. Then CookieMonsterFix outputs log to console.log like:
CookieMonsterFix – [xxx.xxx.com] tried steal cookie of [.xxx.com]
and guard.