XSS κίνδυνοι εντοπίστηκαν σε συνδέσμους στο New York Times σε άρθρα πριν το 2013

Οι διευθύνσεις URL σε άρθρα στους New York Times (NYT) που δημοσιεύτηκαν πριν από το 2013 έχουν βρεθεί να είναι ευάλωτες σε XSS (cross-site scripting) επίθεση, ικανή να μεταφέρει κώδικα που θα εκτελείται στο πρόγραμμα περιήγησης.

 

cyber-attack-hacker

 

Ένας φοιτητής από τη Σιγκαπούρη με το όνομα Wang Jing ανέφερε την Πέμπτη την ευπάθεια XSS που επηρεάζει τους αναγνώστες της online εφημερίδας. Δημιούργησε επίσης ένα βίντεο που αποδεικνύει την επίθεση στις σελίδες διαφόρων παλαιών άρθρων στο NYT.

 

Μια ευπάθεια XSS πηγάζει από την επικύρωση ανεπαρκών εισροών χρήστη και επιτρέπει σε μια απειλή να χρησιμοποιήσει κακόβουλο κώδικα σε αυτούς που κάνουν κλικ στον σύνδεσμο. Βασικά, κακή JavaScript προστίθεται μετά από ένα διπλό απόσπασμα σε μια νόμιμη σύνδεση και στη συνέχεια εκτελέστηκαν.

 

Ο δυνητικός κίνδυνος είναι προφανής, δεδομένου ότι ο εισβολέας θα μπορούσε να επισκιάσει συνεδρίες του προγράμματος περιήγησης, να κλέψει τα cookies ή να κατευθύνει τον χρήστη σε ιστοσελίδες phishing.

 

Ο ερευνητής δήλωσε ότι δοκίμασε την επίθεση σε Firefox (26.0), σε Ubuntu (12.04) και IE (9.0.15), με Windows 7 και δεν απαιτείται σύνδεση του χρήστη, όπως μπορείτε να δείτε στο βίντεο επίδειξης παρακάτω.

 

http://youtu.be/RekCK5tjXWQ

 

 

πηγή :
http://www.inzeed.com/kaleidoscope/computer-security/xss-%CE%BA%CE%AF%CE%BD%CE

 

 

比翼鳥資訊 - 在天願作比翼鳥 在地願為連理枝

XSS κίνδυνοι εντοπίστηκαν σε συνδέσμους στο New York Times σε άρθρα πριν το 2013

Οι διευθύνσεις URL σε άρθρα στους New York Times (NYT) που δημοσιεύτηκαν πριν από το 2013 έχουν βρεθεί να είναι ευάλωτες σε XSS (cross-site scripting) επίθεση, ικανή να μεταφέρει κώδικα που θα εκτελείται στο πρόγραμμα περιήγησης.

Ένας φοιτητής από τη Σιγκαπούρη με το όνομα Wang Jing ανέφερε την Πέμπτη την ευπάθεια XSS που επηρεάζει τους αναγνώστες της online εφημερίδας. Δημιούργησε επίσης ένα βίντεο που αποδεικνύει την επίθεση στις σελίδες διαφόρων παλαιών άρθρων στο NYT.

computer_network

Μια ευπάθεια XSS πηγάζει από την επικύρωση ανεπαρκών εισροών χρήστη και επιτρέπει σε μια απειλή να χρησιμοποιήσει κακόβουλο κώδικα σε αυτούς που κάνουν κλικ στον σύνδεσμο. Βασικά, κακή JavaScript προστίθεται μετά από ένα διπλό απόσπασμα σε μια νόμιμη σύνδεση και στη συνέχεια εκτελέστηκαν.

http://biboying.lofter.com/post/1cc9f4f5_4213daa

View original post

廣告

發表迴響

在下方填入你的資料或按右方圖示以社群網站登入:

WordPress.com Logo

您的留言將使用 WordPress.com 帳號。 登出 / 變更 )

Twitter picture

您的留言將使用 Twitter 帳號。 登出 / 變更 )

Facebook照片

您的留言將使用 Facebook 帳號。 登出 / 變更 )

Google+ photo

您的留言將使用 Google+ 帳號。 登出 / 變更 )

連結到 %s