09 декабря 2014
High-Tech Bridge предупреждает о XSS-уязвимостях
Компания «High-Tech Bridge» опубликовала отчет об XSS-уязвимостях, которые эксперты компании считают наиболее распространенным среди web-приложений. XSS-уязвимости эксплуатируются киберпреступниками более десяти лет. В открытом архиве XSS-уязвимостей хранятся данные о более чем 6 тысячах неисправленных брешей присутствующих на популярных, правительственных и медиа ресурсах. Web-разработчики недооценивают XSS-уязвимости и их последствия.
Компании неоднократно упоминают о XSS-уязвимостях в своих отчетах. С начала 2012 года High-Tech Bridge выпустила 169 бюллетеней безопасности, относительно работы 161 программного продукта. 91 бюллетень содержит информацию о XSS-уязвимостях.
XSS-уязвимость эксплуатируется с использованием XSS-сплоитов. Например, AJAX-функции позволяют похищать файлы cookies, с использованием любого web-сайта, который контролируется киберпреступниками. XSS-атаки очень опасны, в связи с тем, что от пользователя не требуется никаких действий и в большинстве случаев не замечает произошедшего. Даже небольшое изменение на главной странице уязвимого ресурса сделает атаки таргетированными.
XSS-уязвимости используются и для загрузки вредоносного программного обеспечения. Переход по поддельной ссылке компрометирует данные пользователя и позволяет злоумышленникам инфицировать компьютер.
Для web-приложений крупные компании устанавливают межсетевые экраны и регулярно осуществляют проверки главных ресурсов. В то же время, забывая о безопасности поддоменов. Файлы cookie основного сайта действительны на всех поддоменах, поэтому XSS-уязвимость поддомена будет угрожать безопасности всего ресурса.
XSS-уязвимости подрывают механизмы защиты межсайтовой подделки запросов. Преимущественное большинство администраторов web-приложений обладают неограниченными привилегиями, что позволяет им исполнять произвольные SQL-запросы, команды и программный код. Поэтому единичной XSS-уязвимости достаточно для того, чтобы обойти защиту от подделки запросов и позволить преступникам похищать данные и пользоваться привилегиями администратора пораженного ресурса.
