Хакер #305. Многошаговые SQL-инъекции
На прошлой неделе ИБ-специалист Джеймс Ли (James Lee) обнародовал эксплоиты и раскрыл детали уязвимостей в браузерах Internet Explorer и Edge. Обе проблемы представляют собой обход SOP (same-origin policy) и в сочетании с UXSS позволяют вредоносному сайту, открытому в браузере, получить доступ к конфиденциальным данным о других посещенных жертвой ресурсах.
Уязвимости и появившиеся эксплоиты для них уже изучили эксперты компании Trend Micro, которые пришли к выводу, что проблемы действительно опасны и позволяют вредоносному сайту извлечь любую информацию о другом ресурсе, хранящуюся в URL. Эксперты перечисляют, что в URL могут присутствовать куки, sessionIDs юзернеймы, пароли, токены OAUTH, как в открытом виде, так и в форме хэшей.
Патчей для найденных Джеймсом Ли уязвимостей нет, хотя он обнаружил эти проблемы 10 месяцев тому назад и незамедлительно уведомил об этом Microsoft. Исследователь писал, что так и не получил от компании ответа, так что исправлений, очевидно, можно не ждать вовсе.
Теперь, когда о проблеме стало известно широкой публике, представители Microsoft все же решили прокомментировать ситуацию, их заявление цитирует издание SecurityWeek. В компании сообщили, что описанные Ли уязвимости не требуют исправления, так как для реализации атаки злоумышленнику нужно каким-то образом убедить жертву посетить вредоносный сайт, а информация, раскрываемая в случае удачной атаки, это всего лишь URL.
«Мы всегда призываем наших пользователей приобретать хорошие привычки и следовать им в онлайне, в том числе проявлять осмотрительность, кликая по ссылкам на веб-страницы, открывая неизвестные файлы или принимая запросы на передачу файлов», — сообщили представители Microsoft.
