29 de Septiembre, 2005

Error en Internet Explorer 6.0 al procesar ciertos archivos embebidos permite ataques XSS

Por marcelo-ar - 29 de Septiembre, 2005, 0:29, Categoría: General

Título original:
Microsoft Internet Explorer 6.0 embedded content cross site scripting

Sven Vetsch reporta una vulnerabilidad del tipo XSS (Cross Site Scripting) en Internet Explorer.
Según el autor del reporte es posible utilizar contenido embebido especialmente manipulado para ejecutar código script arbitrario en el contexto de seguridad de un sitio.

El problema reside en el manejo del contenido de ciertos archivos como por ejemplo una imagen gif.
En un archivo *.gif, en primer lugar, se provee el encabezado del mismo. El contenido restante del archivo podría ser código html usual. Por lo tanto, embeber código script en la parte restante del archivo puede ser posible. Este código inyectado será ejecutado por el motor del navegador que procesa el html, posibilitando ataques del tipo cross site scripting (XSS).

En la prueba de concepto de Sven Vetsch se utiliza un archivo GIF, pero otros tipos de archivos que puedan ser embebidos en un html, podrían utilizarse también, como por ejemplo, JPG, WAV, AVI, RM/RAM.

Prueba de concepto:

01 <GIF89a? 8 ?f???>
02 <html>
03 <head>
04 <script>
05 alert("XSS");
06 </script>
07 </head>
08 <body>
09 </body>
10 </html>

En la linea 01 se proporciona el encabezado normal correspondiente a archivos gif, pero en las líneas restantes se incluye html y código script.

Impacto:
Los sitios web que permitan la subida de archivos para ser utilizados posteriormente están afectados, por ejemplo, sitios de subasta que permitan subir un archivo con la imagen del producto, o bien foros en los cuales los usuarios puedan subir avatares especialmente alterados.

Recomendación:
Se ha verificado que otros navegadores como Mozilla Firefox, Netscape y Opera no están afectados por este problema, por lo cual, el autor del reporte recomienda no usar Internet Explorer.

Respuesta del fabricante:
Microsoft fue informado de este problema, pero no verfificó la peligrosidad del mismo.

Créditos:
Vulnerabilidad descubierta por Sven Vetsch

Reporte original:
Microsoft Internet Explorer bis 6.0 eingebettete Inhalte Cross Site Scripting

Reporte con prueba de concepto (en formato PDF):
GIF-Bug im Internet Explorer 6 - Proof of Concept

Tiempos de divulgación:
15/07/05 Sven Vetsch descubre el fallo
28/07/05 Discusion entre Sven Vetsch y "scip AG" acerca del modo de revelar esta información
31/07/05 Sven Vetschs informa a Microsoft
08/08/05 Respuesta Semi-automatica de Microsoft
19/09/05 scip AG informa a sus clientes registrados
19/09/05 Prueba-de-concepto publicada en computec.ch
19/09/05 Artículo completo publicado en "scip monthly Security Summary[1]"
22/09/05 Reporte público


Nota importante:
En una respuesta al reporte original en la lista Full-disclosure, Brion Vibber hace notar que el motivo por el cual esto funciona es debido a que no es un encabezado correspondiente a un archivo GIF, ya que dichos encabezados no comienzan con "<".
Sin embargo, aclara que el reporte es bueno, ya que como norma general los sitios que aceptan la subida de archivos debieran validar su contenido en forma minuciosa.

Referencias:
[Full-disclosure] [scip_Advisory 1746]
Microsoft Internet Explorer 6.0 embedded content cross site scripting
http://seclists.org/lists/fulldisclosure/2005/Sep/0607.html

Re: [Full-disclosure] [scip_Advisory 1746]
Microsoft Internet Explorer 6.0 embedded content cross site scripting
http://seclists.org/lists/fulldisclosure/2005/Sep/0616.html

El Blog

Calendario

<<   Septiembre 2005  >>
LMMiJVSD
      1 2 3 4
5 6 7 8 9 10 11
12 13 14 15 16 17 18
19 20 21 22 23 24 25
26 27 28 29 30   

Categorías

Alojado en
ZoomBlog

Get Firefox!

Check Page Rank

directorio blogs
eXTReMe Tracker