Cross Site Scripting en jQuery 1.6 - xombra.com



Se ha arreglado una vulnerabilidad que permitía realizar ataques cross site scripting (XSS ) en jQuery 1.6. La vulnerabilidad podía ser explotada en ciertos sitios que utilizaran la variable 'location.hash' en un contexto que no fuera el de Cascading Style Sheets (CSS).

jQuery es una biblioteca o framework JavaScript de software libre y código abierto. Es compatible con la mayoría de navegadores actuales y ofrece una serie de funcionalidades basadas en JavaScript que de otra manera requerirían muchas líneas de código. Así, permite simplificar la manera de interactuar con los documentos HTML, manipular el árbol DOM, manejar eventos, desarrollar animaciones y agregar interacción con la técnica AJAX a páginas web.

El error se produce cuando se introduce el símbolo '#' en la URL seguido del código que se desee inyectar, puesto que jQuery espera (erróneamente) que la cadena que se va a encontrar a continuación sea código CSS. Debido a esto no realizan las comprobaciones necesarias para limpiar el contenido de la variable 'location.hash'. Al parecer es una costumbre bastante extendida en algunas webs, utilizar el contenido de esta variable para fines diferentes a los originales (para ser insertada en código CSS). Es el caso de evernote.com o skype.com, entre otras. Por esto, se ha optado en la solución por que sea el propio jQuery el que filtra el código HTML que pueda ser incrustado a través de esta variable, y no delegar esta responsabilidad a todos los programadores que vayan a utilizarla.

La vulnerabilidad, que era funcional en Internet Explorer, Firefox, Chrome y Opera, se ha arreglado en la versión 1.6.3 de jQuery. Los usuarios del navegador Safari no se veían afectados porque este navegador se encargaba de codificar el contenido de esta variable mediante el símbolo de porcentaje '%'.

Más Información:

Changelog jQuery 1.6.3
http://blog.jquery.com/2011/09/01/jquery-1-6-3-released/

Bug XSS
http://bugs.jquery.com/ticket/9521

Ejemplo de XSS y explicación de cómo filtrar esta variable
http://ma.la/jquery_xss/

Fuente:
Por Javier Rascón
http://www.hispasec.com
Twiter: @jvrrascon



Otras noticias de interes:

 El rastro invisible que dejamos en Internet puede tener consecuencias
Los ciudadanos saben que cuando navegan por Internet dejan un rastro, pero no son conscientes del alcance que puede llegar a tener ese rastro, según el director de la Agencia Española de Protección de Datos (AEPD), Artemi Rallo.
 ALERTA!!! Shakira circula por Internet en forma de virus
Shakira no es sólo el nombre de una popular cantante colombiana, sino también un virus que se transmite a través de mensajes de correo electrónico y vía Chat mIRC. Para hacer caer a los usuarios, el mensaje afirma contener fotografías de la artista.
 Android vulnerable al photo snooping
Al igual que ocurre con Apple iOS, los usuarios de Android también pueden ser objeto de ‘photo snooping’, que no es más espiarlas fotos de los usuarios a través de sus propios dispositivos.
 Impresoras: la discreta puerta del hacking
Sin recibir demasiadas atenciones ni despertar recelos, las impresoras conectadas en red son cada día más comunes en empresas e instituciones; su capacidad de proceso, su memoria y el acceso a puertos de comunicación las hacen ideales para ataques hacker, práctica que va en aumento e incluso ha llegado a las agencias federales de EE.UU.
 Usuarios de Facebook buscan forma de escapar de Ticker
Tras el anuncio de los cambios en Facebook se ha generado una oleada de mensajes en los que se explican los pasos a seguir para mantener la privacidad y evitar que toda la información se comparta a través de la nueva opción Ticker.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cross

  • site

  • scripting

  • jquery

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • chrome

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql