Cross-Site Scripting з використанням UTF-7 символів в URL
22:50 04.10.2006Нещодавно, 02.10.2006, секюріті експерти виявили серьйозну помилку в Internet Explorer, яка дозволяє викоконувати міжсайтовий скриптінг з використанням UTF-7 символів в URL запиту.
Причому спочатку один дослідник виявив дану уразливість на Майкрософтовському сервері IIS, яка проявляє себе в IE (в якому встановлена автодетекція кодування сторінки), і дана уразливість може бути використана як універсальна уразливість проти користувачів IE та веб сайтів на IIS серверах. Але майже одразу після появи повідомлення про цей випадок, інший дослідник виявив подібну уразливість на серверах Apache при використанні IE та UTF-7 символів в URL. Що теж може бути використано як універсальна уразливість проти користувачів IE та веб сайтів на серверах Apache (при умові ввімкненої автодетекції кодування сторінки).
Суть нападу зводиться до задання неіснуючої сторінки, і при цьому веб сервери IIS і Apache виводять інформацію, що вона не існує і при наявності UTF-7 символів дозволяють провести XSS атаку.
Сам я проводив дослідження і в мене Internet Explorer ніяк не проявив в даній уразливості (ні на серверах Апач, ні на IIS). Схоже що в мене IE взагалі не підтримує дане кодування (його немає в виборі кодувань), на відміну від Mozilla (де вибір такого кодування є, але сама Mozilla не вразлива).
Як повідомляє RSnake в себе на сайті в записі UTF-7 Strikes 404 Pages In Internet Explorer, проблема подібна має місце, як він перевірив, і про подібного роду уразливості в IE він вже знав раніше. І не зважаючи на різні обмеження, даний напрямок атаки може бути віднесеним до універсальних XSS атак. Але пізніше в коментарях до запису було повідомлено, що дана уразливість зустрічається епізодично, не на всіх серверах Apache. Та й сам автор повідомлення про уразливість в Apache + IE, підтвердив, що поспішив, і в дефолтній конфігурації Апач (особливо останні версії) не вразливий до даної атаки. Але ще зашишаються IIS сервера (та й рідкі випадки на деяких версіях Apache).
- Microsoft Internet Information Services UTF-7 XSS Vulnerability [MS06-053] (деталі)
- IE UXSS (Universal XSS in IE, was Re: Microsoft Internet Information Services UTF-7 XSS Vulnerability [MS06-053]) (деталі)
