Cross Site Scripting en jQuery 1.6 - xombra.com



Se ha arreglado una vulnerabilidad que permitía realizar ataques cross site scripting (XSS ) en jQuery 1.6. La vulnerabilidad podía ser explotada en ciertos sitios que utilizaran la variable 'location.hash' en un contexto que no fuera el de Cascading Style Sheets (CSS).

jQuery es una biblioteca o framework JavaScript de software libre y código abierto. Es compatible con la mayoría de navegadores actuales y ofrece una serie de funcionalidades basadas en JavaScript que de otra manera requerirían muchas líneas de código. Así, permite simplificar la manera de interactuar con los documentos HTML, manipular el árbol DOM, manejar eventos, desarrollar animaciones y agregar interacción con la técnica AJAX a páginas web.

El error se produce cuando se introduce el símbolo '#' en la URL seguido del código que se desee inyectar, puesto que jQuery espera (erróneamente) que la cadena que se va a encontrar a continuación sea código CSS. Debido a esto no realizan las comprobaciones necesarias para limpiar el contenido de la variable 'location.hash'. Al parecer es una costumbre bastante extendida en algunas webs, utilizar el contenido de esta variable para fines diferentes a los originales (para ser insertada en código CSS). Es el caso de evernote.com o skype.com, entre otras. Por esto, se ha optado en la solución por que sea el propio jQuery el que filtra el código HTML que pueda ser incrustado a través de esta variable, y no delegar esta responsabilidad a todos los programadores que vayan a utilizarla.

La vulnerabilidad, que era funcional en Internet Explorer, Firefox, Chrome y Opera, se ha arreglado en la versión 1.6.3 de jQuery. Los usuarios del navegador Safari no se veían afectados porque este navegador se encargaba de codificar el contenido de esta variable mediante el símbolo de porcentaje '%'.

Más Información:

Changelog jQuery 1.6.3
http://blog.jquery.com/2011/09/01/jquery-1-6-3-released/

Bug XSS
http://bugs.jquery.com/ticket/9521

Ejemplo de XSS y explicación de cómo filtrar esta variable
http://ma.la/jquery_xss/

Fuente:
Por Javier Rascón
http://www.hispasec.com
Twiter: @jvrrascon



Otras noticias de interes:

 Fallos de seguridad críticos en webOS
El sistema operativo webOS, antes propiedad de Palm y ahora de HP, aún no ha empezado a correr de forma masiva en los dispositivos pero ya se ha topado con sus primeros problemas graves en seguridad.
 La famosa Site Vanhackez tambien fue víctima
Siguen cayendo site a nivel mundial. Esta vez fue la de nuestros amigos de Vanhackez.
 Falsificación de certificado en el navegador de Android
Se ha anunciado una nueva vulnerabilidad que afecta al navegador por defecto de Android.
 Crack Wep con aircrack en una red wifi
En este artículo el comentarista se coloca desde el punto de vista del intruso e intenta descifrar y acceder a una red wifi, utilizando para ello varias herramientas Windows de libre acceso. Al igual que en este artículo abordamos cómo se realiza una intrusión, en la continuación de este artículo, que publicaremos próximamente, explicaremos qué hacer para prevenir correctamente este tipo de ataques.
 Un fallo en Mac podría poner al descubierto datos cifrados
Un experto de seguridad de Mac ha revelado una técnica que los hackers podrían utilizar para controlar los ordenadores de Apple y robar los datos que están escondidos a la vista de los ladrones.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cross

  • site

  • scripting

  • jquery

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • chrome

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql