XSS в Google Search Appliance
19:15 22.11.2006Як повідомляє RSnake в себе на сайті Widespread XSS for Google Search Appliance, декілька днів тому на його форумі з’явилася цікава інформація - maluc знайшов XSS уразливість в Google Search Appliance - локальному пошуковцю Гугла! І знову Гуглу прийдеться зайнятися фіксингом уразливостей, в тому числі XSS. Деякий час тому вони вже фіксили подібні діри (як я писав в записах XSS уразливість в Гуглі та XSS та CSRF уразливості в Google).
В даному випадку уразливість в локальному пошуковому движку - Google Search Appliance. Який коштує від $2000 до $30000, і чимало сайтів використовують його для пошуку по власному сайті (замість власних пошукових движків). І даний движок доволі популярний, тому й наявність уразливостей в ньому - це серйозна новина, і чимало сайтів та їх відвідувачів можуть зазнати небезпеки від можливих атак. Уразливість полягає в використанні вибіркого кодування і пов’язанних з цим багів, в данному випадку використовувався баг в UTF-7. Про подібний трюк з використанням багів в кодуванні я вже писав (Cross-Site Scripting з використанням UTF-7 символів в URL).
Інші відомі пошукові компанії також випускають подібний софт, але Search Appliance від Гугла один з найпопулярніших (на заході), й тому він повинен бути безпечним. Як і пошуковці (локальні і глобальні) від інших виробників, але чим популярніший, тим і більша відповідальність. Про подібні випадки уразливостей в локальних пошукових системам я ще згадаю в майбутньому.
Google треба буде пофіксити свій локальний пошуковий движок і оновити його у великої кількості своїх клієнтів (що затягнеться на деякий час). І взагалі їм потрібно буде більше слідкувати за безпекою свого софту, як основного пошуковця, так і локального.
