Osiem milionów plików SWF zagrożonych atakiem XSS

Groźną lukę znaleziono w około 8 milionach plików Adobe Flash. Wszystkie witryny, które je hostują są narażone na ataki. Hakerzy mogą wykorzystać serwisy do przesłania użytkownikom złośliwego kodu.

Pliki znajdują się z wielu rodzajach rozbudowanych witryn internetowych. Można je spotkać w sieciowych kasynach, e-bankach, stronach o tematyce sportowej. Podczas ataku wykorzystywana jest metoda XSS (cross-site scripting). Pozwala ona na uruchomienie w przeglądarce złośliwego kodu, a czasami także na kradzież prywatnych danych.

Źródłem luki jest źle napisany fragment kodu ActionScript. Zlicza on kliknięcia w banery reklamowe i zawiera parametry clickTAG lub url. Warto zwrócić uwagę na to, że nie wszystkie serwisy wzbogacone o te elementy są podatne na ataki XSS. Dużą odpornością cechuje się na przykład witryna Citibanku. Hakerzy próbowali złamać jej zabezpieczenia, ale spełzło to na niczym.

Mimo to odkryto wiele serwisów podatnych na wstrzyknięcie złośliwego kodu. Serwis The Register przedstawił ich kilka przykładów:

przykład 1
przykład 2
przykład 3
przykład 4

Administratorzy mieli już do czynienia z takimi problemami. Dwa lata temu ujawniono kilka luk w plikach SWF, które naraziły użytkowników ponad 10 tysięcy serwisów. Likwidacja tego zagrożenia trwała bardzo długo. Webmasterzy musieli zmodyfikować swoje oprogramowanie do tworzenia animacji i przygotować treści od nowa.

Trzeba jednak podkreślić, że odkryta podatność nie jest efektem software'owej luki, lecz raczej złego wykorzystania przez wedeveloperów możliwości Flasha. Samo Adobe dokładnie opisuje, jak powinny być projektowane bannery reklamowe z mechanizmami śledzenia – najwyraźniej nie wszyscy projektanci ten tekst przeczytali.

Źródło: TheRegister.co.uk, Webappsec.org

Podoba Ci się ten tekst? Powiedz o tym innym na Fb: lub na G+:

publikuj:

wydrukuj

skomentuj »

Komentarze

Aby dodać komentarz, musisz podać swój nick, treść komentarza oraz poprawnie przepisać oba słowa z obrazka (słowa muszą być rozdzielone spacją).
W treści komentarza można używać języka formatowania BBcode.