Fornecer um Helpdesk segura e eficiente
Uma ferramenta que é popular entre os desenvolvedores da casa da Microsoft, o editor RadEditor HTML, contém uma vulnerabilidade perigosa cross-site scripting (XSS), diz o pesquisador GS McNamara.
O editor foi desenvolvido por Telerik e usado de confiança código in-house em muitas grandes empresas e nos produtos Redmond incluindo MSDN, CodePlex, TechNet, MCMS e como uma alternativa para o SharePoint.
McNamara de CGI Federal disse que a falha (CVE-2014-4958) era perigoso levando a impactos típicos XSS incluindo potencial roubo de informações pessoais e as sessões, e drive-by downloads.
"Você tem esses grandes sites que podem utilizar [RadEditor] que você esperaria seria executado validação de entrada boa, mas talvez alguns desses médio e pequenos sites não e só o deixou cair e fomos ao vivo", disse McNamara Vulture Sul .
"É um grande corredor para colocar scripts maliciosos em bancos de dados de conteúdo."
O XSS não foi imediatamente óbvio e foi atingido por um scanner de vulnerabilidade comercial. Telerik, disse ele, não empurrar profundo o suficiente para encontrar vulnerabilidades.
"Você pode cobrir os casos fáceis de XSS, as tags de script de abertura e fechamento marcas de script, mas você realmente precisa de ir mais fundo, olhar para casos extremos", disse ele.
Especificamente, foi uma grande falha na forma como filtros de segurança de validação de entrada existentes trabalhou em uníssono que não conseguiu cobrir vetores de ataque menos conhecidas elaborado há algum tempo atrás pelo fundador WhiteHat Security Jeremiah Grossman.
Telerik desenvolvedor de software sênior Nicodemo Lazarov detalhou a falha em um blogue e agradeceu McNamara para a sua pesquisa.
Não RadEditor não sanitie expressões CSS a partir do conteúdo da caixa no momento ... vemos que coube para adicionar uma camada extra de built-in de higienização que retira expressões CSS incondicionalmente a partir do conteúdo Editor como de Q3 2014 Desta forma, você vai ter esse recurso fora da caixa e você terá uma coisa a menos para se preocupar quando se trata de proteger contra ataques XSS.
O uso do programa de um formato estranho para os dados enviados entre os servidores era provável razão o scanner comercial não detectou a XSS, e também o que atingiu o pico curiosidade de McNamara levando alguns "obsessivos" verificações manuais.
McNamara alegada pessoal de apoio na frente da casa de Telerik rejeitou a existência da falha e disse-lhe para atualizar para um trabalho em torno de correção que só dirigida metade do vetor de ataque.
Ele respondeu com um código de exploração, e uma mensagem a um funcionário da segurança interna. Um patch foi lançado no final deste mês.
Seu blog foi batido fora de linha por um ataque distribuído de negação de serviço na noite em que publicou informações de tráfego proveniente de oito IPs em toda a Holanda, China e os EUA. É como alvo um componente de blogs WordPress que enviou link para o tráfego para outros blogs, assim esgotar mais rapidamente recursos de computação.
Não se sabe se o ataque, o primeiro de seu tipo para bater seu blog, foi em relação à sua divulgação.
"A maioria da base de usuários da empresa é provável ignorar que eles silenciosamente integrado uma vulnerabilidade de alto risco em seu site. Proprietários do sistema fora assinado com isso sem saber", disse ele em um e-mail.
"Espero que a notícia fica a palavra.
McNamara planeja testar outros editores de vulnerabilidades semelhantes. ®
Nenhum comentário:
Postar um comentário