BUGTRAQ ID: 27111
Firefox是一款开源的WEB浏览器。
Firefox会在所访问的Web服务器返回401状态代码时显示认证对话和WWW-Authenticate头。如果要指定基础认证,WWW-Authenticate头必须设置了[Basic realm="XXX"]值,然后会在认证对话窗口中显示Realm的值(也就是XXX)。
尽管Firefox不会显示双引号(")后WWW-Authenticate头Realm值中的字符,但没有过滤单引号(')和空格,因此攻击者就可以创建特制的Realm值,使认证对话看起来好像来自于可信任的站点,这样就可以执行网络钓鱼攻击。
Mozilla Firefox 2.0.0.11
厂商补丁:
Mozilla
-------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
<a href=http://www.mozilla.org/ target=_blank>http://www.mozilla.org/</a>
暂无评论