- PVSM.RU - https://www.pvsm.ru -
Команда исследователей безопасности Detectify [1], обнаружила серьезную уязвимость на сервере Google.
В основу для взлома легла уже давно известная уязвимость XXE [2] (XML External Entity Processing).
Данная «дырка» позволяет внедрять внешние сущности, например для загрузки отдельных частей файла, однако, если хакер может внедрить произвольный участок кода в схему, это может привести к серьезным последствиям, например, чтению произвольного файла на сервере.
Всему виной являлся один из сервисов Google, а именно Toolbar Button Gallery. Исследователи обнаружили [3], что для удобства настройки тулбара, разрешена загрузка XML файла с пользовательскими настройками. Внедрив специальный участок кода в файл и загрузив его на сервер, хакеры получили нужные данные, XXE сработала.
Безопасники ограничились лишь демонстрацией уязвимости в виде чтения файлов /etc/passwd
и /etc/hosts
, но на этом возможности уязвимости не ограничиваются. Например, с помощью XXE можно было добиться отказа в обслуживании, SSRF, а также, при нужном подходе, выполнения произвольного кода на целевом сервере.
Автор: akamajoris
Источник [4]
Сайт-источник PVSM.RU: https://www.pvsm.ru
Путь до страницы источника: https://www.pvsm.ru/informatsionnaya-bezopasnost/58816
Ссылки в тексте:
[1] Detectify: https://detectify.com/
[2] XXE: https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing
[3] Исследователи обнаружили: http://blog.detectify.com/post/82370846588/how-we-got-read-access-on-googles-production-servers
[4] Источник: http://habrahabr.ru/post/219125/
Нажмите здесь для печати.