 Cross Domain Scripting... + caca ! |
|
| ++ do IE da Micro$oft: IE permite CROSS DOMAIN SCRIPTING | |||||||||||||||
| Publicação: Thor Larholm, PivX
security advisory TL#003 Assunto: IE allows universal Cross Domain Scripting. Data: Jun 25 2002 Autores: Patrick Zumstein e Thor Larholm Site: http://www.pivx.com/larholm/adv/TL003/ |
|||||||||||||||
|
|||||||||||||||
| o' \,=./ `o (o o) -----ooO--(_)--Ooo----- |
|||||||||||||||
Um dos muitos elementos do HTML 4 é o OBJECT, usado para incorporar objetos externos numa página. Tais objetos podem ser o controle WebBrowser ou outros controles ActiveX, imagens, applets e outros. Em controles WebBrowser incorporados, a propriedade object não é submetida às checagens de segurança de domínios cruzados (Cross Domain) que normalmente são efetuadas em documentos HTML incorporados e, desta maneira, é possível contornar quaisquer restrições de sandboxing e zonas de segurança. |
|||||||||||||||
DESCRIÇÃO Qualquer documento pode ampliar as propriedades expostas pelo elemento OBJECT e todos os conflitos de nome de espaço (namespace) são manipulados analisando a propriedade object que é uma referência duplicada do documento incorporado. Quando um documento do mesmo site é incorporado (mesmo protocolo, porta e host), é possível fazer uma referência à propriedade object sem ser submetido a qualquer checagem de segurança de domínio cruzado (Cross Domain security check). Após ter estabelecido a referência, mudaremos a localização do documento que deve ser incorporado. A localização muda mas a referência permanece e, desta forma, temos agora acesso total ao DOM do documento externo. No caso de text/html, o objeto default referenciado pela propriedade objeto é o objeto documento. O exploit de teste de conceito logo a seguir vai ler o cookie de passport.com. O elemento OBJECT não se restringe a incorporar documentos HTML - pode incorporar objetos de qualquer tipo. Deste modo, esta vulnerabilidade poderia ser ampliada ainda mais. |
|||||||||||||||
Exploit |
|||||||||||||||
| <object id="data" data="empty.html" type="text/html"></object> <script> var ref=document.getElementById("data").object; ref.location.href = "http://www.passport.com"; setTimeout("alert(ref.cookie)",5000); </script> |
|||||||||||||||
SOLUÇÃO Desativar ActiveX. |
|||||||||||||||
VERSÕES TESTADAS IE6 Win2000, todos os patches e servicepacks. IE5.5 Win98, todos os patches e servicepacks. IE5.5 WinNT 4, todos os patches e servicepacks. IE6 WinXP, todos os patches e servicepacks. |
|||||||||||||||
| STATUS DO FORNECEDOR A Microsoft foi notificada em 25 de Junho de 2002. |
|||||||||||||||
FATORES MITIGANTES Outlook e Outlook Express não são afetados diretamente se estiverem rodando na zona restrita (Restricted zone). |
|||||||||||||||
POSTSCRIPT Em 25 de Junho, Patrick Zumstein notificou Thor Larholm, Georgi Guninski e PacketStormSecurity sobre a possível vulnerabilidade. Em trabalho conjunto, Patrick e Thor rapidamente delinearam o ofensor e prepararam este alerta, após o que a Microsoft foi imediatamente notificada. Uma vez que isto possivelmente é de domínio público, decidi lançar este aviso após apenas 2 semanas para que os administradores de sistemas e os usuários finais possam possivelmente aplicar a solução indicada para garantir sua segurança temporariamente enquanto um patch apropriado seja produzido. |
|||||||||||||||
|
Demonstração |
|||||||||||||||
| Verifique a extensão destas vulnerabilidades
e como o seu sistema está exposto caso você decida
visitar sites com conteúdo pernicioso. Ler cookies alheios - Obtenção de cookies Conteúdo de arquivos - O conteúdo de arquivos locais e remotos pode ser obtido! Executando comandos arbitrários - Como o CodeBase não foi corrigido |
|||||||||||||||
| DECLARAÇÃO | |||||||||||||||
| O site NumaBoa apenas traduziu e divulgou esta informação
pública, portanto, não é responsável
pelo mau uso das informações contidas neste alerta.
As opiniões expressas são dos autores. Em hipótese
alguma os autores ou o responsável pelo site NumaBoa poderão
ser responsabilizados por qualquer dano surgido ou provocado que
tenha conexão com o uso ou com a divulgação
deste alerta. Qualquer uso desta informação será
por conta e risco do usuário. |
|||||||||||||||
| Link Original | |||||||||||||||
   http://www.pivx.com/larholm/adv/TL003/default.htm |
|||||||||||||||
Indique esta página