icon_firefox[CVE 2014-1539] Clickjacking through cursor invisibility after Flash interaction


  • Introduction :

Dans la mise à jour de Mozilla Firefox 30 ma vulnérabilité de CursorJacking/ClickJacking à été corrigé avec un impact défini comme Haut (sec-high).

D’après les démonstrations que j’ai développées, cette vulnérabilité permet dans un premier temps de rendre le curseur invisible et de duper l’utilisateur via la mise en place d’un faux curseur se déplacent parallèlement au curseur réel avec un décalage entre eux ce qui permet donc a un attaquant de mener des attaques de Clickjacking en trompant l’utilisateur quand à l’endroit ou il clique en réalité.

  • Conclusion :

Avec cette vulnérabilité, plusieurs possibilités d’attaques sont envisageable comme le fait de mener une attaque de clickjacking sur l’Addon Prompt,permettant ainsi d’exécuter des programmes malveillants ,ou encore de prendre de contrôle de la webcam et du microphone via le WebRTC dialog, et encore beaucoup d’autres attaques.

  • Description

Security researcher Jordi Chancel reported a mechanism where the cursor can be rendered invisible after it has been used on an embedded flash object when used outside of the object. This flaw can be in used in combination with an image of the cursor manipulated through JavaScript, leading to clickjacking during interactions with HTML content subsequently. This issue only affects OS X and is not present on Windows or Linux systems.

Vulnerability demonstration (video):

 -Security Researcher Jordi Chancel

Comments are closed.