Szerző: Bizó Dániel

2010. október 1. 13:37

Támadó kód készült a Webaudit ellen

Egy tegnap délután publikált blogbejegyzés szerint olyan sebezhetőség található a Medián Webaudit mérőkódjában, amelyet kihasználva támadható a magyar web nagy része. A támadás a szakemberek véleménye szerint inkább elméleti síkú, semmint gyakorlati veszély, ugyanakkor felhívja a figyelmet egy kritikus problémára.

Az ijedtség volt a nagyobb

Az ismeretlen szerzőtől származó blogbejegyzés szerint az összes olyan oldal támadható úgynevezett cross-site scripting (XSS) technikával, amely használja a Medián Webaudit mérőkódját - vagyis a jelentős hazai weboldalak túlnyomó többsége. Ennek bizonyítékaként képernyőfelvételeket készített több nagy hazai oldalról, köztük a HWSW-ről és a HUP-ról is, amint azok meglátogatásával lefutott az XSS kód, ezúttal csak egy feliratot jelenítve meg a felhasználó gépén ennek tényéről. A hacker nem publikálta a teljes támadás dokumentációját, csak egyetlen sornyi JavasScript kódot, amelyet a "megfelelő helyen" kell alkalmazni.

A felvételekre érezhetően érzékenyen reagáltak az érintett oldalak, ugyanakkor gyorsan nyilvánvalóvá vált, hogy a kód nem azok forrásába került bele, valamint nem is a Webaudit kódba. Kocsis Tamás, a biztonsági termékek forgalmazására szakosodott biztributor műszaki vezetője szerint ilyen kevés információból nem lehet triviális módon megállapítani, milyen módon használható a Webaudit kódja rosszindulatú célokra, vagy hogy egyáltalán kiaknázható-e a sebezhetőség ésszerű keretek közt. Az első értesülések alapján elképzelhetőnek tartotta az előre preparált URL-ek készítésével a böngészőn keresztül bejuttatott XSS-támadást, később azonban a szakember már inkább azt a forgatókönyvet valószínűsítette, amelyet a HUP fórumán egyesek szintén felvetettek, hogy a gépre letárolt sütik módosítása gyanítható. Valódi támadás azonban a szakemberek egyöntetű véleménye szerint nincs folyamatban, így egyelőre úgy tűnik, ellenlépéseket felesleges tenni, például a JavaScript tiltásával.

Toxikus vezetők szivárványa

Az IT munkakörülményeket, a munkahelyi kultúrát alapjaiban határozzák meg a vezetők, főleg ha még toxikusak is.

Toxikus vezetők szivárványa Az IT munkakörülményeket, a munkahelyi kultúrát alapjaiban határozzák meg a vezetők, főleg ha még toxikusak is.

Az ügyben megkérdeztük Varga Károlyt is a Medián részéről, aki elmondta, hogy az anonim hacker felvette velük a kapcsolatot, és átadta a sebezhetőség részleteit. Ez alapján megállapították, hogy a prototípus valóban működik, ugyanakkor rendkívül korlátozott feltételek mellett, és inkább egy elméleti lehetőség működőképességének bizonyítékaként szolgál, semmint valós támadások kivitelezésére. Varga bár a támadás technikai részleteiről nem kívánt közelebbit nyilatkozni, elmondta, hogy a tömeges méretű kiaknázáshoz hatalmas mértékű energiabefektetésre és szaktudásra volna szükség. A Medián már készíti a mérőkód javítását, amelynek tesztelését követően legkésőbb hétfőn megindul a javított Webaudit kód terjesztése.  Egyes weboldalak üzemeltetői arról számoltak be, hogy egy kódfrissítés már meg is történt.

Az XSS-ben rejlő hatalmas lehetőségekben nincs semmi újdonság, ahogyan a Medián Webaudit kritikus volta is régóta velünk él, ugyanakkor eddig a nyilvánosság előtt még senki nem mutatta meg a gyakorlatban, hogy XSS-támadást meg lehetne valósítani a Webauditon keresztül. Mindez felhívja a figyelmet arra, hogy az olyan kritikus infrastruktúrák védelme, mint amilyen a Webaudit is, sokkal nagyobb figyelmet kellene kapjon a szakma, de akár a nemzetbiztonság részéről is, véli Nemes Dániel, a biztributor ügyvezetője. Ebben az esetben nem a támadás technikai részletei az igazán érdekesek, hanem maga a koncepció, hogy egy olyan hordozó is kerülhet támadás alá, amely több millió magyar felhasználóhoz jut el naponta.

A Webaudit a magyar weben gyakorlatilag mindenhol jelen van a nagy látogatottságú oldalakon, különös tekintettel a reklámbevételekre alapozó híroldalakra és magazinokra. A Webaudit által elért felhasználók száma eléri a napi 3-3,5 milliót, egy hét alatt pedig a 4,5 milliót is meghaladhatja a Webaudit kódját lefuttatók tömege.

Az XSS-ről

A cross-site scripting (XSS) támadások a weboldalak programozási hiányosságait használják ki. A nem megfelelően ellenőrzött beviteli mezőkbe a támadók saját kódjukat szúrják be, amellyel a többi látogató számára is megváltoztatják az oldal viselkedést, így akár kártevő terjesztésére vagy adatok lopására is használhatják azt. A cross-site scripting leginkább azért kockázatos, mert egy ilyen sérülékenységet kihasználva akár az internetezők számára jól ismert, biztonságosnak, megbízhatónak tartott weboldalt is fertőzővé lehet tenni. Részletes leírás az XSS sebezhetőségekről a Hun-CERT oldalán olvasható.

Forrás: IBM X-Force 2010 Mid-Year Trend and Risk Report

Az IBM X-Force 2010 augusztusában publikált fenyegetés- és kockázatelemzése szerint évek óta a cross-site scripting sebezhetőségek jelentik a webalkalmazások számára a legnagyobb biztonsági kockázatot, az ilyen fenyegetettségek egyeduralmát csak az utóbbi időben kezdték ki a SQL-beszúrásos támadások. A riport alapján az XSS volt 2010 első felében a támadók által legsűrűbben, nagyjából az esetek harmadában használt módszer a webalkalmazások kompromittálására.

Nagyon széles az a skála, amin az állásinterjú visszajelzések tartalmi minősége mozog: túl rövid, túl hosszú, semmitmondó, értelmetlen vagy semmi. A friss heti kraftie hírlevélben ezt jártuk körül. Ha tetszett a cikk, iratkozz fel, és minden héten elküldjük emailben a legfrissebbet!

a címlapról