tecnologia Falha de execução de script no Google unidade representa ameaça à segurança

[☢|EXPL01T3R|☣ 50]

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

Mais uma vez o Google Security Team Atire no próprio pé. Ansuman Samantaray , um testador de penetração indiana descobriu uma pequena, mas falha de segurança no Google criativo unidade que representa ameaça de phishing para milhões de usuários do Google foi ignorado pela equipe do Google segurança, respondendo que, "É é apenas uma tentativa de phishing égua, não um bug no Google ".

 

De acordo com Ansuman , ele relatou um JavaScript vulnerabilidade de execução de script em arquivos do Google Drive em 20 de Dezembro de 2012 a Google Security Team e Google, mas rejeitou o relatório em 21 de dezembro.

 

Capacidade de executar scripts maliciosos através de arquivos Google Drive coloca ameaças à segurança, não só ataque phishing, mas um atacante capaz de estende o ataque para malwares se espalhando, etc

 

A falha existe na maneira como Google Drive visualizar os documentos no navegador. Visualização on-line dos arquivos de execução de código escrito em doc como HTML / JavaScript apenas mudando o valor de um parâmetro chamado de " exportação "na URL.

 

ie.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

.

 

Quando um usuário do Google carregar ou criar um arquivo no Google Drive / Docs, então URL para o arquivo ter " exportação " é igual a " baixar "por padrão. Assim que o usuário pode fazer o download.

 

Mas Ansuman descobriram que, se um atacante mudar esta " exportação "parâmetro para" ver ", o código malicioso escrito no arquivo de documento criado por atacante irá executar o código no navegador.

 

ie.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

" Qualquer usuário da internet pode entrar scripts maliciosos no aplicativo que quando enviada como um e-mail para um usuário vítima pode roubar informações do usuário. Tais ataques podem ser usados ​​para lançar ataques devastadores XSS baseados . " ele disse a O Hacker News '

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Para fins de demonstração temos upload de um arquivo no Google Drive @

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

( com valor do download ) e

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

( com vista ). Um código JavaScript simples é escrito para solicitar opção de login Falso senha para Re-usuário autenticado para visualizar o documento, como mostrado acima:

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

Se bem sucedido, um arquivo remoto irá registrar a senha da vítima (

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

) e redirecionar para página inicial do Google Drive.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Esta é agora a primeira vez, o Google equipe de segurança deixou de analisar o nível de ameaça possível. Na semana passada, um outro Google Drive

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

, que depois se estende para ataque de phishing.

 

Fonte: The Hacker News