Охотники на клопов нашли cookie-лазейку в Internet Explorer

ZDNet UK

11 мая 2000 г.

Охотники за компьютерными багами нашли способ выуживать персональную информацию из файлов cookie пользователей Microsoft Internet Explorer. Microsoft обещает подготовить соответствующую заплатку.

Сообщение о новой дыре в Internet Explorer было опубликовано в четверг на веб-сайте Peacefire.org Беннетом Хейселтоном (Bennett Haselton) и Джейми Маккарти (Jamie McCarthy). Хейселтон, который основал Peacefire как молодежную группу, протестующую против цензуры, впоследствии занялся поиском способов обмана ПО, блокирующего контент. Затем он выявил целый ряд уязвимых мест в интернет-ПО, включая почтовую систему Hotmail и браузеры Netscape и Microsoft.

Лазейка связана со способом обработки адресов URL браузером Internet Explorer. Когда пользователь устанавливает соединение с веб-сайтом, браузер по указанному в поле URL адресу определяет, нужно ли обращаться к какому-либо cookie-файлу (эти файлы содержат информацию о параметрах доступа или даже пароли ранее посещаемых веб-сайтов). Хейселтон написал программу на JavaScript, которая демонстрирует, как можно обмануть Internet Explorer, заставив его вместо чтения информации из определенного cookie-файла отправлять этот файл на сервер Peacefire.org. Эта программа заменяет слэши и знак вопроса в длинной строке URL альтернативной цепочкой символов, которые интерпретируются таким образом, что браузер соединяется с сайтом Peacefire, но при этом открывает cookie-файл другого сайта. Чтобы запустить эту программу, пользователя нужно заставить кликнуть на кнопке или линке.

Хейселтон признает, что cookie-файлы обычно не содержат важной для пользователя информации, такой как номер кредитной карты. Однако некоторые сайты бесплатной электронной почты, в частности Hotmail и Yahoo!, используют эти файлы для аутентификации пользователей, которые уже посещали данный сайт. На сайтах электронной коммерции с помощью cookie-файлов отслеживается содержимое корзины с покупками. Например, в cookie Amazon.com может содержаться информация о том, что любит читать данный посетитель, хотя реальные покупки хранятся в другом месте. Когда пользователь уходит с сайта, cookie-файл очищается. В принципе злоумышленник может собрать информацию из cookie-файлов таких сайтов, как NYTimes.com, расшифровать информацию об именах пользователей и паролях, а затем попытаться использовать их на других веб-сайтах. Однако пока признаков того, что этот метод применялся на самом деле, нет.

Метод действует в Internet Explorer for Windows 95, 98 и NT, но не работает в версиях браузера для Macintosh и Unix. В Microsoft признали наличие проблемы, но сказали, что ее последствий можно избежать. гMicrosoft стремится защищать информацию пользователей, + говорится в заявлении компании, + и мы работаем над поправкой, которая исключит пробел в защите, связанный с обработкой cookie-файлов браузером Internet Explorer. Мы надеемся предоставить эту поправку в ближайшее время. На странице www.microsoft.com/technet/security/default.asp будет опубликован бюллетень с разъяснением этой проблемы и рекомендациями по получению и установке поправкиё. Компания отмечает, что гте, кто пользуется функцией IE Security Zones для запрета применения активных скриптов на непроверенных сайтах, не попадутся на эту уловкуё.

Хейселтон и Маккарти советуют пользователям Internet Explorer вообще запретить JavaScript до выхода поправки.

Где купить: продукты Microsoft

Обсуждение статьи

Ну и что такого?...  --  Фдучун

ZDNET Russia