XSS уразливість в Invision Power Board

23:55 03.03.2008

У грудні, 12.12.2007, я знайшов Cross-Site Scripting уразливість (причому persistent XSS) в форумному движку Invision Power Board. Про що найближчим часом сповіщу розробникам.

Те що IPB є вразливим для даної атаки я підозрював вже давно - ще з 2006 року, як почав цікавитися темою XSS атак через флеш. Але тільки наприкінці 2007 року знайшов час щоб перевірити можливість даної уразливості в IPB. Причому я був упевнений, що уразливість є в IPB 1.x, але сподівався, що вже в IPB 2.x розробники виправили її. Але виявилось, що в другій версії движка нічого в цьому плані не змінилося - уразливі як IPB 1.x так і IPB 2.x (перевірив на Invision Power Board v1.3, 2.1.5 та 2.2.2).

XSS:

[flash=1,1]http://site/flash.swf[/flash]

XSS є активним (persistent), тому будуть атаковані всі ті, хто подивиться тему, де розміщений даний код. Єдиною умовою є включена підтримка флеша в повідомленнях. А багато адмінів забувають про те, що в них флеш включений, або зовсім не знають, що він був включений раніше (іншим адміном, або при апгрейді движка). А деяким власникам форумів потрібна підтримка флеша.

Атака може бути проведена через публікацію флешки в повідомленні на форумі, або встановлення її в якості аватора.

Патчі для виправлення даних уразливостей я вже приготував (ще в грудні), і вони незабаром вийдуть в новій версії мого Security Pack.


Leave a Reply

You must be logged in to post a comment.