Cross-Site Scripting з використанням UTF-7 символів в URL
22:50 04.10.2006Нещодавно, 02.10.2006, секюріті експерти виявили серьйозну помилку в Internet Explorer, яка дозволяє викоконувати міжсайтовий скриптінг з користанням UTF-7 символів в URL запиту.
Причому спочатку один дослідник виявив дану уразливість на Майкрософтовському сервері IIS, яка проявляє себе в IE (в якому встановлена автодетекція кодування сторінки), і дана уразливість може бути використана як універсальна уразливість проти користувачів IE та веб сайтів на ISS серверах. Але майже одразу після появи повідомлення про цей випадок, інший дослідник виявив подібну уразливість на серверах Apache при використанні IE та UTF-7 символів в URL. Що теж може бути використано як універсальна уразливість проти користувачів IE та веб сайтів на серверах Apache (при умові ввімкненої автодетекції кодування сторінки).
Суть нападу зводиться до задання неіснуючої сторінки, і при цьому веб сервер і ISS і Apache, виводять інформацію, що вона не існує і при наявності UTF-7 символів дозволяє провести XSS атаку.
Сам я проводив дослідження і в мене Internet Explorer ніяк не проявив в даній уразливості (ні на серверах Апач ні на ISS). Схоже що в мене IE взагалі не підтримує дане кодування (його немає в виборі кодувань), на відміну від Mozilla (де вибір такого кодування є, але сама Mozilla не вразлива).
Як повідомляє RSnake в себе на сайті в записі UTF-7 Strikes 404 Pages In Internet Explorer, проблема подібна має місце, як він перевірив, і про подібного роду уразливості в IE він вже знав раніше. І не зважаючи на різні обмеження, даний напрямок атаки може бути віднесеним до універсальних XSS атак. Але пізніше в коментарях до запису було повідомлено, що дана уразливість зустрічається епізодично, не на всіх серверах Apache. Та й сам автор повідомлення про уразливість в Apache + IE, підтвердив, що поспішив, і в дефолтній конфігурації Апач (особливо останні версії) не вразливий до даної атаки. Але ще зашишається ISS сервера (та й рідкі випадки на деяких версіях Apache).
- Microsoft Internet Information Services UTF-7 XSS Vulnerability [MS06-053] (деталі)
- IE UXSS (Universal XSS in IE, was Re: Microsoft Internet Information Services UTF-7 XSS Vulnerability [MS06-053]) (деталі)