He leído en la web, concretamente en barrapunto que hay un fallo de seguridad en Firefox que permite hacer spoofing (ver páginas con urls válidas que sin embargo no son las originales). De momento este fallo no afecta al Internet Explorer ya que no lleva implementado el soporte IDN (International Domain Name). El único que se salva en este caso es el Explorer pero si nos ponemos a sacar bugs y fallos de seguridad sobre este último no acabamos… Para evitar este fallo debéis introducir en la barra de direcciones de Firefox about:config y establecer la opción network.enableIDN a false
La consultora independiente de seguridad informática Hispasec advirtió hoy de la aparición de un problema de seguridad en diversos navegadores que puede ser explotado por un sitio web malicioso para falsificar la URL que aparece en la barra de tareas, el certificado SSL y la barra de estado, haciendo mostrar una dirección de Internet que no es la que realmente se está visitando. Este tipo de vulnerabilidad suele ser rápidamente empleada para ataques «phishing» (estafas en las que se engaña al usuario para que facilite información confidencial), por lo que se recomienda precaución.
Con la excepción del común Internet Explorer, prácticamente todos los navegadores se ven afectados. El problema ha sido confirmado en las siguientes versiones, la mayoría de navegadores basados en Mozilla: Firefox 1.0, Konqueror 3.2.2, Mozilla 1.7.5, OmniWeb 5.1, Opera 7.54u1 y 7.54u2, Safari 1.2.4, y Netscape 7.2 . No se descarta que esto afecte a otras versiones de esos mismos productos.
Según Hispasec, este problema se debe a un error en el tratamiento de IDN (International Domain Name), que permite el uso de caracteres internacionales en nombres de dominio. Esta circunstancia puede ser explotada para registrar nombres de dominio con ciertos caracteres internacionales que se parecen a otros de uso común, con lo que se puede confundir al usuario y que así crea que está en un sitio de confianza.
No se trata de un problema nuevo, en diciembre de 2001 ya se describieron este tipo de ataques. A la espera de un parche o actualización que corrija el problema, Hispasec recomienda no seguir enlaces de sitios que no sean de confianza y escribir las URLs directamente en la barra de direcciones.