Arastırmacılar bütün ana masaüstü platformlarını (Internet Explorer, Firefox, Safari, Opera ve Adobe Flash) etkileyen yeni bir browser exploit / tehditi ile ilgili olarak uyarıyorlar. Clickjacking adı verilen

tehdit OWASP New York AppSec 2008 konferansında anlatılacak ve tartısılacaktı ama Adobe ve diger etkilenen üretici firmaların ricası üzerine fix çıkana kadar açıklanmayacak.
Kesfin arkasındaki iki arastırmacı Robert Hansen ve Jeremiah Grossman açıgın seviyesi ile ilgili ufak bilgiler verdiler.
Clickjacking nedir?
"Maalesef, bulgularımızın bazıları kötü degil, çok kötü. O kadar kötü ki, sorumlulugunu tasıyarak duyurmamız gerektigini hissettik. Bir açık digerine yöneltti o da bir digerine ve güm - yakında açıklar ile ilgili pek çok yama çıkacak. Ve sadece bir kaç üretici firma ile çalıstık. Ve.. evet. Açık çok kötü."
Yarı kısıtlı OWASP prezentasyonunu izlemis birisi açıgın gerçekten zero-day (patch i yok) olduğu, tüm browser'ları etkiledigini ve Javascript ile alakası olmadıgını belirtiyor:
"Kabaca, kötü amaçlı bir web sitesini ziyaret ettiğinizde saldırgan browser'ınızın ziyaret ettiği linklerin kontrolünü eline alabiliyor. Problem lynx türü olanlar hariç hemen hemen tüm browser'ları etkiliyor. Problemin javascript ile alakası yok ve javascript i kapatmanın yararı olmuyor. Browser2ların çalısma mantıgındaki bir hata ve bir yama ile basitçe kapanamayacak birsey. Bu açıkla, kötü amaçlı bir web sayfasına girdiginizde, kötü amaçlı kişi istediğiniz linke, butona tıklamanızı sağlıyor ve birsey görmüyorsunuz."
Firefox 2, 3, Internet Explorer tüm sürümleri (8 dahil), Opera, Safari browser'ları Clickjacking açıgından etkileniyor.

Clickjacking korunma - Firefox ve NoScript
Firefox Noscript eklentisinin yazarı Giorgio Maone Noscript ile %100 korunma sağlanabilecegini söylüyor. Clickjacking ile ilgili olarak yayınladıgımız haberin yazarına asağıdaki epostayı göndermis:
"Merhaba,
Clickjacking haberinin yorumlarında Noscript in koruma sağlamadıgı ile ilgili çok sayıda spekülasyon ve kafa karısıklıgı gördüm.
Bu açıgın nasıl olduğu ile ilgili detaylı bilgiye erisme imkanım oldu ve size asağıdakileri söyleyebilirim:
1. Gerçekten korkutucu bir açık.
2. NoScript varsayılan konfigürasyonu ile çogu saldırı senaryosunu durdurabilir (en pratik, etkili ve tehlikeli olanlarını).
3. NoScript ile %100 korunma sağlamak için "Plugins|Forbid <IFRAME>" seçenegini isaretlemelisiniz.
Firefox için NoScript indir
not: %100 güvenlik için : Firefox a Noscript i kurduktan sonra Tools->Add-ons->Noscript->Options->Plugins->Forbid yolunu kontrol edin kaynak