Vulnerabilidad de XSS en mas de 8 Millones de Sitios con Flash

Duke " Asi SenCiLLo · 17/01/10, 22:25:26

]Una de las aplicaciones mas comunes utilizadas en los sitios web, son las películas y clics hechos en Adobe Flash (

), animaciones, slideshows y anuncios publicitarios en este formato, están a la orden del día por toda la red. La facilidad con la que se crean y la gran cantidad de documentación sobre el uso de Flash, a colaborado para que su uso se extienda a millones de sitios web.

A pesar de ser una herramienta muy útil, personalmente pienso que esta sobreutilizada y que tiene gran cantidad de defectos, como no poder ser indexados adecuadamente en los buscadores, la cantidad de recursos que consume cuando se utiliza para visualizar película s o vídeos online, a esta lista de desventajas, ahora hay que sumarle un nuevo fallo de seguridad, descubierto por el investigador MustLive y publicado en su sitio websecurity.com.ua.
El fallo consiste en una vulnerabilidad de XSS (Cross-site scripting) la cual permite incrustar codigo Javascript y/o HTML, en algunas animaciones flash que no validan correctamente sus parámetros de entrada.

Ejemplo del código vulnerable:

Como se puede ver, en el siguiente código actionscript, no se hace validación alguna a las variables obtenidas:

Cita:

getURL(_root.clickTAG, "_blank");

El codigo anterio podria ser explotado de la siguiente forma:

Cita:

dragonjar')

Pero no es la única variable vulnerable a este tipo de vulnerabilidades XSS

Cita:

getURL(_root.url, "_blank");

Que puede ser explotada de la siguiente forma:

Cita:

dragonjar')

Para ver el funcionamiento de este tipo de ataques, les dejo este flash en el portal del, donde podemos ver que con solo deja correr la animacion , nos ejecutara el alert en javascript que hemos incrustado de forma arbitraria en el archivo flash, por lo que podríamos realizar todo tipo de estafas y engaños utilizando el nombre de esta pagina del gobierno colombiano.

Este problema que afecta millones de sitios en la red (lo cual podemos comprobar con una simple búsqueda en google ”filetype:swf inurl:clicktag”), es aun mas grave si se tiene en cuenta que la mayoría de las personas que manejan Flash y en especial su lenguaje de programación ActionScript, son diseñadores o programadores que no tienen en cuenta la seguridad a la hora de realizar sus trabajos, una muestra de esto lo podemos para realizar la publicidad que se publica en su portal.

---------- Post
Post añadido a las 23:25 ---------- Post anterior fue a las 23:21 ----------

Como dicho flash de anterior nodio pongamos aka y mostremos la vunerabilidad cili en el flash
si noda por el link la url esta aca

Código:

http://resources.secureidnews.com/res/color_id_flash_091108.swf?xyzzy=1&clickTAG=javascript:alert(%27Juan%20Duuke%27)

Herramientas
Mostrar Versión Imprimible Enviar por Correo
Desplegado
Mode Lineal Cambiar a Modo Hibrido Cambiar a Modo Hilado

Usuarios activos actualmente viendo este tema: 1 (0 miembros y 1 visitantes)

Vulnerabilidad de XSS en mas de 8 Millones de Sitios con Flash

] Una de las aplicaciones mas comunes utilizadas en los sitios web, son las películas y clics hechos en Adobe ...