XSS в Google Search Appliance

19:15 22.11.2006

Як повідомляє RSnake в себе на сайті Widespread XSS for Google Search Appliance, декілька днів тому на його форумі з’явилася цікава інформація - maluc знайшов XSS уразливість в Google Search Appliance - локальному пошуковцю Гугла! І знову Гуглу прийдеться зайнятися фіксингом уразливостей, в тому числі XSS. Деякий час тому вони вже фіксили подібні діри (як я писав в записах XSS уразливість в Гуглі та XSS та CSRF уразливості в Google).

В даному випадку уразливість в локальному пошуковому движку - Google Search Appliance. Який коштує від $2000 до $30000, і чимало сайтів використовують його для пошуку по власному сайті (замість власних пошукових движків). І даний движок доволі популярний, тому й наявність уразливостей в ньому - це серйозна новина, і чимало сайтів та їх відвідувачів можуть зазнати небезпеки від можливих атак. Уразливість полягає в використанні вибіркого кодування і пов’язанних з цим багів, в данному випадку використовувався баг в UTF-7. Про подібний трюк з використанням багів в кодуванні я вже писав (Cross-Site Scripting з використанням UTF-7 символів в URL).

Інші відомі пошукові компанії також випускають подібний софт, але Search Appliance від Гугла один з найпопулярніших (на заході), й тому він повинен бути безпечним. Як і пошуковці (локальні і глобальні) від інших виробників, але чим популярніший, тим і більша відповідальність. Про подібні випадки уразливостей в локальних пошукових системам я ще згадаю в майбутньому.

Google треба буде пофіксити свій локальний пошуковий движок і оновити його у великої кількості своїх клієнтів (що затягнеться на деякий час). І взагалі їм потрібно буде більше слідкувати за безпекою свого софту, як основного пошуковця, так і локального.


Leave a Reply

You must be logged in to post a comment.