Microsoft의 주력 Internet Explorer 브라우저에 있는 패치되지 않은 도메인 간 취약점으로 인해 노출될 수 있음 보안 경고에 따라 Windows 사용자는 쿠키 하이재킹 및 자격 증명 도용 공격을 받습니다. 연구원. Microsoft에 보고된 제로데이 결함은 Eduardo Vela의 IE Ghost Busters 강연의 변형입니다. 유령을 믿습니까?
Microsoft에 보고된 제로데이 결함은 Eduardo Vela의 IE 변형입니다. 고스트 버스터즈 말하다:
유령들을 믿습니까? 서핑하는 동안 URL을 1,000번 변경한 후에도 완전히 안전하다고 느끼는 보이지 않는 스크립트를 상상해 보십시오. 이제 유령이 귀하가 서핑하는 내용과 입력하는 내용(비밀번호 포함)을 포함하여 귀하가 하는 모든 것을 볼 수 있고 심지어 다음 행동도 추측할 수 있다고 상상해 보십시오.
다운로드가 필요하지 않으며 사용자 확인도 필요하지 않으며 ActiveX도 필요하지 않습니다. 즉, 문자열이 연결되지 않습니다. 우리는 상주 스크립트의 힘과 전역 교차 도메인의 힘을 조사할 것입니다. 또한 크로스 도메인 및 상주 스크립트를 찾는 방법에 대한 단계를 살펴보겠습니다.
새로운 변형에 대한 자세한 내용은 다음과 같습니다. 온라인에 게시됨 Ph4nt0m 보안팀(여기서 번역).
이는 Windows XP SP2 및 SP3의 Internet Explorer 6에 영향을 미칩니다. Microsoft가 이러한 유형의 공격을 방지하기 위해 Javascript 프로토콜 URL을 처리하는 방식을 변경했기 때문에 새로운 IE 7 브라우저는 영향을 받지 않습니다.
보안연구원 아비브 라프 이(가) 생성되었습니다. 공격 벡터를 확인하는 테스트 페이지 IE 6에서. 이 스크린샷은 한 도메인(raffon.net)에 로드되어 다른 도메인(google.com)의 쿠키를 표시하는 스크립트를 보여줍니다.
패치가 없는 경우 IE 사용자는 IE 7로 업그레이드하는 것이 좋습니다. 아니면 언제나 그렇듯이 대체 브라우저.
업데이트: US-CERT의 경고 위험을 명시한다:
이 취약점으로 인해 인증되지 않은 원격 공격자가 다른 도메인의 컨텍스트에서 임의의 스크립트를 실행할 수 있습니다. 이를 통해 공격자는 쿠키 도용, 웹 세션 하이재킹, 인증 자격 증명 도용 등 다양한 작업을 수행할 수 있습니다.
Secunia는 이것을 다음과 같이 평가합니다. 적당히 비판적 문제.