Lue uutinen mobiilisivustolla

Flash Player altistaa Googlen käyttäjät kovan luokan tietovuodoille

27.9.2007 13:41 Tietoturva-asiantuntija Billy (BK) Rios on myös löytänyt pahan luokan xss-haavoittuvuuden, jossa hyödynnetään Adoben Flash Playerin normaalitoimintaa ja Google Documentsia. Lopputuloksena hyökkääjä saa halutessaan käsiinsä Googlen verkkopalveluihin kirjatut kirjautuneiden käyttäjien kaikki tiedot.

Tietoturvaguru Billy (BK) Rios on huomannut, että Adoben Flash Player ja Google Documents tarjoavat täyden pääsyn Googlen web-sovelluksiin kirjautuneiden käyttäjien tietoihin.

Flash Player 7.0.19.0-versiota uudemmat toistimet tukevat erityistä metodia, jonka avulla eri nimiosoitteiden välisten sivustojen välillä voidaan tehdä luvallisia sivupyyntöjä.

Hyökkääjän tarvitsee ainoastaan tallentaa Google Docsin avulla Google.comin alaiselle palvelimelle Flash Playerin sivustojen välisiin pyyntöihin tarvitseman crossdomain.xml -tiedoston, joka sisältää Googlen nimitunnuksen lisäksi hyökkääjän oman nimitunnuksen.

Keinon käyttöön ei tarvita varsinaisia cross site scripting -temppuja, vaan homma hoituu "laillisesti" Flash Playerin dokumentoidun ja käytetyn toiminnon sekä Googlen oman palvelun avulla.

Riosin menetelmä vaatii siis Flash Playerin ja Googlen web-palveluihin kirjautuneen uhrin. Tämän jälkeen hyökkääjä saa Flashin avulla nuuskittua kaikki uhrin Googlen palveluihin säilömät tiedot. Rios on julkaissut myös esimerkkikoodin. Koodi hakee Gmailiin kirjautuneen käyttäjän kontaktitiedot ja kertoo ne käyttäjälle.

Matias Mäki
matias.maki@sanoma.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (7)

0

0

Tietoturva-asiantuntija Billy (BK) Rios on myös löytänyt pahan luokan xss-haavoittuvuuden, jossa hyödynnetään Adoben Flash Playerin normaalitoimintaa ja Google Documentsia. Lopputuloksena hyökkääjä saa halutessaan käsiinsä Googlen verkkopalveluihin kirjatut kirjautuneiden käyttäjien kaikki tiedot.

Digitoday

Lainaa Ilmoita asiaton viesti

# 27.9.2007 16:55

0

0

Auts auts. Aikas paha juttu.

Vieläköhän yritykset uskoo että tuonne dokumentit..

Kale

Lainaa Ilmoita asiaton viesti

# 27.9.2007 16:55

0

0

Tottakai, mainostilaa xD

Hemppa

Lainaa Ilmoita asiaton viesti

# 27.9.2007 17:14

0

0

Ihan yhtä helposti saa noukittua tiedostoja "melkein jokaiselta" Windows- työasemalta, vaikka se olisi palomuurin takana yrityksen sisäverkossa. Tuossa on vielä se kiva puoli, että saat noukittua kaikki tiedostot joita koneella sekä jos koneessa on vielä mountattuja verkkolevyjä kaikki tiedostot niidenkin takaa on noudettavissa. Miten tämä tehdään sitä, en tässä kerro ;) Tietoturva on harhaa ja sitä mukaa kun haavoja löydetään, niin niitä korjataan mutta montaka haavoittuvuutta on pinnan alla. Niitä käytetään, mutta eivät ole "yleisessä" tiedossa. Kyllä niitä netisä löytää jos on sinnikäs / on yhteyksiä. Ei tiedossa olevat haavoittuvuudet ole ongelma vaan ne "vielä tuntemattomat" joita "ammatimaisesti" käytetään enemmän tai vähemmän rikollisella tavalla. Usein jopa toimeksianto pohjalta. Olen Kalen kanssa täysin eri mieltä. Keskitetyssa päätetyylisessä (millainen google apps:kin on) ympäristössä tietoturva on vielä hoidettavissa jotenkin järkevällä tavalla, mutta normaalit PC:t on varsinkin isoissa hyvinkin hoidetussa ympäristössä ovat lähdes mahdottomia saada järkevällä panostuksella tietoturvalliseksi. Kyllä alan toimijat tämän tietävät, mutta tietävätkö kaikki asiakkaat. Tässä otetaan tälläinen (tietoinen ?) riski. Pistetään päät pensaaseen ja toivotaan ettei rysähdä kovaa.

Tietoturva tutuksu

Lainaa Ilmoita asiaton viesti

# 27.9.2007 17:28

0

0

Ihan yhtä helposti saa noukittua tiedostoja "melkein jokaiselta" Windows- työasemalta, vaikka se olisi palomuurin takana yrityksen sisäverkossa. Tuossa on vielä se kiva puoli, että saat noukittua kaikki tiedostot joita koneella sekä jos koneessa on vielä mountattuja verkkolevyjä kaikki tiedostot niidenkin takaa on noudettavissa. Miten tämä tehdään sitä, en tässä kerro ;)

Ilmeisesti meillä ei sitten on "ihan jokaisia koneita". Varmasti jossain voi löytyä ympäristöjä joissa tuo onnistuu ja vielä helpostikin, jos ympäristön hoito on laiminlyöty.

Omassa konehuoneessa sentänä tietää miten palvelimet on konfiguroitu, miten niitä on hoidettu, ainakin suunnilleen ketkä tietoihin pääsee käsiksi, saat logit ja sinulla on oikeus milloin tahansa teetättää ympäristöllesi PEN -testaus.

Eikä tuon tapaisien aukkojen löytyminen juuri lisää uskoa siihen että harkitsisin vakavasti yrityksen tietopääoman laittamista internettiin.

-

Lainaa Ilmoita asiaton viesti

# 27.9.2007 18:23

0

0

Hei eiks ffffffffff :stä pitäåisi tulla mun laskujen mukaan c0000 - f0000?

laskentalasku

Lainaa Ilmoita asiaton viesti

# 27.9.2007 23:31

0

0

Ihan yhtä helposti saa noukittua tiedostoja "melkein jokaiselta" Linux- työasemalta, vaikka se olisi palomuurin takana yrityksen sisäverkossa. Tuossa on vielä se kiva puoli, että saat noukittua kaikki tiedostot joita koneella sekä jos koneessa on vielä mountattuja verkkolevyjä kaikki tiedostot niidenkin takaa on noudettavissa. Miten tämä tehdään sitä, en tässä kerro ;)

Tietoturva tutuksu2

Lainaa Ilmoita asiaton viesti

# 28.9.2007 9:18

Sivut: 1 Edellinen Seuraava

Uutiset

Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa

• IL: Hyvinkään epäilty ampuja keskeytti armeijan hiljattain
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa