Hallo,
habe seit dem Update auf den 1.0.1 dt. und auch mit dem neuen 1.0.2 dt. (gerade installiert und getestet: Mozilla/5.0 (Windows; U; Windows NT 5.0; de-DE; rv:1.7.6) Gecko/20050320 Firefox/1.0.2) große Probleme und möchte auf mind. ein gravierendes Sicherheitsproblem hinweisen, bzw um Rat fragen.
Das Problem zeigt sich in der Art, dass wenn ich die Funktion "Logindaten speichern" von Firefox nutze, in jedem <form> Element innerhalb einer Webseite, welches den User/Username führt, immer mein eigener User/Loginnamen steht (optisch). Man könnte denken, dies sei nichts ungewöhnliches, ich erkläre es hier:
(Ich bin seit >14 Jahren in der IT und selbst Webmaster, betreue mehrere Boards, u.a. auch ein phpBB 2.0.13.)
Beispiel:
Ich logge mich mit einem frisch installierten!! FF. 1.0.1 oder FF 1.0.2 mit leerem Profil in ein phpbb Forum ein. Ich lass den FF die Logininformationen speichern. Begebe mich ins Adminpanel und möchte einen soeben neu regisrierten User freischalten. Beim Aufruf der Maske stehen nun alle Informationen dieses Users drin, bis auf dessen eigentlich registrierten Namen. Dort findet sich mein eigener Name!!
Dass ich im ersten Moment natürlich richtig blöd aus der Wäsche geschaut habe, kann sich jeder denken. Der absolute Hammer an der Sache ist der, dass hätte ich es gar nicht bemerkt, würde der neue Benutzer den Loginnamen "tom" bekommen und wäre somit Administrator meines Boards! Habe es mit einem Testaccount getestet.
So, habe natürlich zuerst an einen Exploit oder ähnliches geglaubt und sofort eine Dump, sowie ein komplettes Filebackup erstellt. Danach dann die phpfiles mit den Orginalen verglichen, um den Include des schadhaften Codes zu finden... vergeblich.
Die Frage war nun, was läuft falsch?
Als nächstes habe ich mir etliche anderen Useraccounts angesehen, mit immer dem gleichen Ergebnis. Alle wollten sie "tom" heissen. uuurgh.
So, nachdem ich mir den Quelltext nochmals angeschaut habe, habe ich die Seite mit dem DCOM-Inspector überprüft und festgestellt, dass die richtigen Werte für das object NameNodeMap: attributes: defaultValue: (nämlich der richtige Username) zwar enthalten sind, dieses aber anscheinend einige Zeilen weiter unten wiederum mit dem Wert: "tom" für das HTMLFormElement: usernamen überschrieben werden.
Um zu verstehen, bzw zu analysieren wollte ich mir eine lokale Kopie dieser Seite über das ScrapBook (Website offlineReader) machen. Das ScrapBook kopiert die Seiten, (drag´n drop) änderte aber sofort den username in den richtigen Wert.) Wie oben erwähnt, habe ich die FF Versionen mehrfach neu installiert, nach bestehendem Problem jedoch meine Orginal-Installation wiederhergestellt, um mehr Möglichkeiten zur Analyse zu haben (ScrapBook).
Zur weiteren Eingrenzung des Problems habe ich nun das File "signons.txt" in welches der FF bei aktiviertem "Speichern der Formulardaten" die Informationen statisch hält, gelöscht. Danach habe ich den oben beschrieben Vorgang wiederholt, jedoch bei der Abfrage ob die Daten gespeichert werden sollen, verneint.
Danach waren im Adminpanel innerhalb der Userverwaltung für jeden User die korrekten Daten innerhalb der Masken enthalten.
Sollte sich mein Problem nun nicht als Einzelfall herausstellen, kann ich jedem der FF >1.0 einsetzt nur empfehlen, die Datei
\Dokumente und Einstellungen\%user\Anwendungsdaten\Mozilla\Firefox\Profiles\%Profilordnerdername (???-default)\signons.txt zu verschieben und unter Extra>Einstellungen>Datenschutz>Gespeicherte Formulardaten die Option "Daten speichern, die in Webseiten Formulare und die Suchleiste eingegeben werden" zu deaktivieren.
Sollte sich entgegen meinen Erwartungen das Problem als ein Einzelfall herausstellen, so möchte ich mich für den erzeugten Wirbel entschuldigen. Ich habe lang überlegt ob ich überhaupt schreibe, jedoch sollte offensichtlich geworden sein, dass es mir um Information geht und nicht um eine Art von "schlecht machen" des Firefox. Im übringen, ich liebe diesen Browser, insbesondere in Verbindung mit dem ScrapBook, habe ich das schon erwähnt?!
Sollte mir jemand Hilfestellung oder Tips zur Fehlersuche geben können, wäre ich natürlich erfreut. Aber bitte von Tips wie "Cache löschen", "Proxy und/oder Firewall ausschalten! absehen. Selbstverständlich habe ich auch mit verschiedenen Einstellungen von javascript, java, css, cookies, ach ... weiss der Geier was getestet. Einzigst signons.txt löschen hat geholfen.
Mich würd interessiern, ob der Webmaster dieses Boards das Problem reproduzieren kann. Mit hoher Wahrscheinlichkeit ja, :shock: Ich kann ich übrigens jederzeit reproduzieren.
So, danke und sorry für den langen Text.
Gruß Tom
