Ο Gareth Heyes, ένας από τους ερευνητές ασφάλειας που εργάζονται για την PortSwigger, η εταιρεία πίσω από το διάσημο Burp Suite security testing toolkit, έχει βρει μια παράκαμψη για ένα ενσωματωμένο φίλτρο XSS του Microsoft Edge.

Αυτό σημαίνει είναι ότι υπάρχει ένας τρόπος για τους επιτιθέμενους να τρέξουν κακόβουλο Javascript μέσα στον Edge κατά την πλοήγηση σε διάφορες ιστοσελίδες, παρά τα ορισμένα μέτρα ασφαλείας που έχει λάβει η Microsoft για τον browser.

Τα XSS φίλτρα είναι παρόντα σε όλα σχεδόν τα προγράμματα περιήγησης και προστέθηκαν, προκειμένου να σταματήσουν οι XSS (cross-site scripting) επιθέσεις στο επίπεδο του browser, πριν φτάσει κανείς στην ιστοσελίδα και τους χρήστες της.

Οι κατασκευαστές του προγράμματος περιήγησης αγωνίζονται για την ενίσχυση της ασφάλειας στο Web παίρνοντας την κατάσταση στα χέρια τους για να αποτρέψουν κάποιες απλοϊκές επιθέσεις όπως οι XSS και CSRF. Για παράδειγμα, εκτός από την XSS, περιλαμβάνονται και αντι-CSRF μέτρα στα προγράμματα περιήγησης με τη μορφή αντι-CSRF tokens που μπορεί να περαστούν ως cookies.

«Βασικά χρησιμοποιείτε το object literal ως έναν πλαστό πίνακα που καλεί την join συνάρτηση που κατασκευάζει string από object literal και το μεταδίδει σε valueOf, η οποία με τη σειρά της το περνά στο location object», είπε ο ερευνητής στο PortSwigger blog εξηγώντας το ελάττωμα .

Προφανώς, το θέμα αυτό ήταν στην πραγματικότητα ένα ελάττωμα που μεταφέρθηκε από κάποιο κώδικα του Internet Explorer που κατάφερε να περαστεί στον Εdge, παρόλο που ο Εdge είναι ένα νέο προϊόν συνολικά.

Το θέμα διορθώθηκε στον IE, αλλά όχι στον Εdge. Ο κύριος Heyes λέει ότι βρήκε το ελάττωμα στις 4 Σεπτεμβρίου, 2015, όταν ο ίδιος το ανέφερε και στη Microsoft.

«Αναγνώρισαν την έκθεση, αλλά δεν μου έδωσαν ένα χρονοδιάγραμμα», είπε ο κύριος Heyes στη Softpedia. «Υποθέτω ότι η πολυπλοκότητα της ανίχνευσης που υπολογίζει ιδιότητες που γίνονται μέσω regex ήταν αρκετά δύσκολη και πιθανώς να δικαιολογεί γιατί η επιδιόρθωση έχει καθυστερήσει.»

Το θέμα φαίνεται να σχετίζεται με νέες ιδιότητες που εισήχθησαν στο ES6, την τελευταία έκδοση της JavaScript που κυκλοφόρησε πέρυσι. Αυτή δεν είναι η πρώτη φορά που τα νέα χαρακτηριστικά της ES6 έχουν βοηθήσει τους εισβολείς να εκτελέσουν XSS επιθέσεις. Proof-of-concept κώδικας είναι διαθέσιμος εδώ. (secnews.gr)