Cross Site Scripting az IE-ben

A Microsoft azonosított egy biztonsági lyukat, amely számtalan weboldalt, és felhasználót érinthet. Ez a sebezhetőség azonban nem a Microsoft termékek hibája, sőt más szoftverkészítők sem tudhatják magukénak: a probléma a webes alkalmazások kódolásában van.

Ez a biztonsági lyuk lehetővé teszi, hogy rosszindulatú felhasználók tetszőleges scripteket futassanak más felhasználó webfolyamatai alatt. Ezek mindaddig veszélyeztetik a felhasználó számítógépét, amíg a website-ok ezt lehetővé teszik – ilyenkor akár egy kémszoftver is a winchesterre kerülhet, amely információkat küldhet egy harmadik személynek, vagy további programokat is lefuttathat a felhasználó gépén, sőt cookie-kat is írhat, vagy olvashat. Ráadásul, ha a script tartós, amikor a felhasználó újra arra a weboldalra érkezik, ahol beavatkoztak, a program újfent lefuttatja magát.

Ám az IE használata során a dialogArguments arra hivatott, hogy böngészés közben megakadályozza az effajta “együttműködést” távoli (remote) oldalakkal. Mégpedig úgy, hogy összehasonlítja a hivatkozó és a párbeszédoldal helyét.

Így helyi párbeszédablak más protokollal történő megnyitásakor az IE ellenőrző kódja biztosítja, hogy a káros objektumok ne kerüljenek továbbításra, s így nem lehetséges az együttműködés sem. Amikor az oldalak egyazon protokollal rendelkeznek, az ellenőrző kód lehetővé teszi az egymás közti interakciót.

Ám sajnos csak a kiinduló és a cél URL-t vizsgálja az IE biztonsági ellenőrzőkódja, így továbbra is esély van például egy, a hivatkozó oldalról utólag küldött HTTP redirect során a scriptek betörésére.

További információk a kapcsolódó linkeken.