[Kercovari]

Postuar nga Enterprise të Sigurimit, nëntor 20, 2009 01:42 GMT

IE 8


Versioni ekskluziv i fundit te Microsoft shfletuesit Internet Explorer përmban një bug që mund të lejonte sulme serioze të sigurisë kundër Web faqet që janë me te sigurta.

Default në IE 8 mund të përdoret për futjen XSS, apo ndër-site scripting, gabime në web faqet që janë më të sigurta,dhe sipas të dy burimeve të regjistroreve, të cilët folin me kusht të "bug" nuk mund të identifikohet. Microsoft u informuar në lidhje me ndjeshmërinë një muaj më parë, thanë ata.

Për ironi, faji është në mbrojtjen e shtuar nga zhvilluesve të Microsoft IE 8, i cili është projektuar për të parandaluar sulmet XSS në faqet. Tipari punon rishkrimin e site të pambrojtura duke përdorur teknika të njohur si kodimin e prodhimit, në mënyrë që karaktere të dëmshme dhe vlerat për të zëvendësuar ato të behen më të sigurta. Zëdhënësi i Google konfirmoi se ka "mangësi të rëndësishme" dhe te shumta në figura 8 IE, por nuk pranoi të jepte detaje.

Nuk është e qartë se si mbrojtjet mund të shkaktojnë dobësi XSS në faqet Web ndryshe që janë të sigurta. Michael Coates - Përfaqësuesi i lartë Inxhinier i Sigurimit. Zbatuesi në aspektin e sigurisë, cili është studiuar nga afër , nuk i mohon dobësit e majme dhe të spekuluara mbi shkaqet e mundshme të IE 8 të ndryshonin në një mënyrë të tillë që vlera e re përfiton per të filluar një sulm mbi një vend të pastër.

"Nëse një sulmues mund të kupton se si duken zbrastite në IE 8 është në të vërtetë kodimin i prodhimit, dhe pastaj të krijojë një numër specifik dhe sulmuesit do të dinë se do të konvertohet në sulmin aktual, ata mund të përdorin për të hyrë në vlerat që ... në fakt rezultojnë në një sulm në faqe tha ai. "Kjo mund të jetë një mënyrë për të futur në sulm në vend që kishte një dobësi në një tjetër mënyrë."

Sulmet XSS janë një mënyrë për të manipuluar URL faqen e internetit për të futë elemente të dëmshme në përmbajtja bazë të web faqes.. Shumë roje te sigurisë kanë ardhur për të parë sigurinë e IE 8 si përgjigje e Microsoft-it te NoScrin një shtrirje popullore që ndihmon në parandalimin e XSS dhe sulme të tjera të shfletuesit Firefox users.

Vonë pasditen e enjte,Microsofti ka filluar dhe është duke hetuar pretendimet e reja publike te një dobësie në Internet Explorer. Ne jemi aktualisht në dijeni të disa sulmeve duke u përpjekur për të përdorur dobësit e marra nga konsumatorët."


Kur Microsoft ka futur mbrojtjen, ai gjithashtu krijoi një mënyrë për webmasters (duke shtuar përgjigje headers "X-XSS-Mbrojtja: 0"). Vështrim mbi faqet Top 50 më të vizituara tregon se vetëm një pronë në pronësi të internetit nga Google në fakt vendosi të bëjë këtë. Një numër i vogël i vendeve bllokimin e mbrojtjes e lane në pyetje si dobësi e përhapur.

I pyetur pse Google hoq dore mbrojtja , një zëdhënës i kompanisë ka shkruajtur në një e-mail:

"Ne jemi të vetëdijshëm për ndikimin e rëndësishëm të plasaritjeve XSS Filter në IE8, dhe ne kemi marrë hapa për të mbrojtur përdoruesit tanë disabling mekanizëm për të riparuar pronat tona derisa ajo u çlirua." Ai nuk dha hollësira.

Përveç potencialisht futjen e dobësive serioze në web site, mbrojtja e XSS mund të sjellë rezultate të tjera të padëshirueshme.

David Ross, Inxhinier i lartë i"software sigurisë Microsoft:

"Ne duhet të gjejmë në mënyrë automatikisht filtër dhe pa dhimbje, dhe të sigurojmë përfitim maksimal për klientët," shkroi ai. "Në përmbledhje, Filter XSS për të provuar vlerën e tyre duke rritur bar dhe llojin e XSS lehtësuese zakonisht gjendet në internet sot, si parazgjedhje, për përdoruesit e Internet Explorer 8. ®

Cert Njoftime.