Une faille de sécurité de Firefox restée béante depuis 17 ans permet de voler des fichiers situés sur un PC distant. La vulnérabilité est exposée par Bartak Tawily, un chercheur en sécurité qui en a fourni une preuve de concept. Voici comment des personnes malintentionnées peuvent télécharger des données sur un PC à l'insu de l'utilisateur.

Mozilla multiplie les efforts pour faire de Firefox un navigateur sécurisé et le plus respectueux de la vie privée. Il n'empêche que plusieurs failles de sécurité y ont été découvertes ces derniers mois, les plus récentes remontant à deux semaines à peine. Un chercheur en sécurité vient de mettre le doigt sur une autre vulnérabilité tout aussi critique.

Firefox : une faille de sécurité vieille de 17 ans mis au jour

Un simple fichier HTML vérolé permet à l'attaquant d'accéder aux contenus d'un répertoire et de ses sous-répertoires sur un PC. La faille repose sur un défaut de Firefox dans sa manière de gérer des documents ou scripts chargés depuis une origine donnée. Ces règles de contrôle d'accès appelées « Same Origine Policy » (SOP) assurent qu'il ne soit pas possible d'accéder à un contenu d'une origine A depuis une origine B.

Le chercheur en sécurité explique que pour les origines situées non pas sur un serveur, mais en local (chemin de type file:///home/user/ etc.), Firefox présente un défaut qui permet d'afficher tous les fichiers situés dans un même répertoire, en l’occurrence celui où est stocké le fichier HTML malveillant. Il est également possible d'accéder à tous les sous-répertoires ainsi que les fichiers qu'ils contiennent.

D'après le chercheur Tawily, Firefox est le seul navigateur à ne pas avoir modifié l'implémentation non sécurisée du SOP. Les autres navigateurs, du moins ceux les plus connus, traitent les fichiers d'un même répertoire comme provenant d'une origine différente.

Lire aussi : Firefox 67 est disponible, le navigateur devient 2 fois plus rapide

D'après le chercheur qui expose une preuve de concept de la vulnérabilité dans une note de blog, l'attaquant doit réussir à passer plusieurs étapes pour atteindre sa victime :  cette dernière doit avoir téléchargé un fichier HTML malveillant depuis un email ou par n'importe quel autre canal, elle doit ouvrir le fichier dans Firefox, cliquer sur un bouton piège qui permet au pirate d'accéder aux répertoires et sous-répertoires, voire récupérer des fichiers à souhait grâce à l’interface de programmation « Fetch API ».

Source : Barak Tawily sur GitHub