Cross Site Scripting a través de Atom y RSS en Opera y Chrome - xombra.com



Existe un error en el sistema de análisis de contenido de los navegadores Opera y Google Chrome.

Un atacante remoto podría explotar esto para ejecutar código JavaScript arbitrario a través de un enlace que devuelva un "mime type" del tipo "text/xml", "text/atom-xml" o "text/rss-xml" con JavaScript incrustado. Estos navegadores lo procesarían sin motivo.

El sistema de análisis de contenido de un navegador web debería comprobar qué tipo de datos son los que va a mostrar y activar o desactivar ciertas funcionalidades dependiendo del tipo; por ejemplo, no tendría sentido que un navegador ejecutara código JavaScript si accede a un fichero cuyo "mime type" en el servidor es "image/jpeg", puesto que en teoría, no debería existir ningún tipo de código JavaScript en un fichero de ese formato.

Google ya ha solucionado esta vulnerabilidad y ha publicado un parche para su versión 3 que se puede aplicar desde el propio Chrome.

En este momento Opera no ha actualizado ni notificado oficialmente esta vulnerabilidad en su sitio oficial, pero al parecer su equipo de desarrollo y seguridad están trabajando para solucionar este problema.

Más Información:

Prueba de concepto:
http://securethoughts.com/2009/09/exploiting-chrome-and-operas-inbuilt-atomrss-reader-with-script-execution-and-more/

Advisory de Chrome:
http://googlechromereleases.blogspot.com/2009/09/stable-channel-update.html

Sitio de Advisories de Opera:
http://www.opera.com/support/kb/advisory/page1/

Fuente:
Por Victor Antonio Torre
http://www.hispasec.com



Otras noticias de interes:

 Los medios sociales, sin políticas de cumplimiento
Según estimaciones de Gartner, en 2012, la mitad de las empresas intentarán bloquear los medios sociales. De hecho, demasiadas organizaciones no cuentan con políticas integrales de cumplimiento para su uso, según detallan desde Gartner.
 Vídeo: Dispositivos móviles y la seguridad.
La Universidad Politécnica de Madrid (UPM) dictó hace poco una serie de conferencias que colgaron en youtube, entre las que me llamó la atención fue: Conferencia 5: Los dispositivos móviles y la seguridad. por David Barroso de S21-Sec. El vídeo dura casi 2 horas. Igualmente las demás ponencias son bastante interesantes.
 Nace la Intypedia, la enciclopedia de la seguridad
Gracias por la información oportuna del sitio bitelia.com nos hemos enterado del nacimiento de La Enciclopedia de la Seguridad de la Información.
 Usuarios de Android conocen más el software libre
El 55% de los usuarios de Android conocen bien el software libre superando ya a los de Windows, según el estudio "Valoración del Software Libre en la Sociedad", donde colabora el Centro Nacional ubicado en Extremadura Cenatic.
 Zenwalk Live 6.4 final
Zenwalk Live 6.4 Release Candidate (RC) se publicó hace más de una semana como un adelanto de lo que sería la versión final, que al día de hoy se ha liberado como estable contando con el escritorio Xfce como predeterminado y basado en los script Live de Slackware.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cross

  • site

  • scripting

  • través

  • atom

  • rss

  • opera

  • chrome

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql