SecurityTracker ha anunciado en:
http://www.securitytracker.com/alerts/2003/Dec/1008453.html
la existencia de una vulnerabilidad en RemotelyAnywhere, que podría ser aprovechada para
intentar modificar las contraseñas de los usuarios legítimos.
El mencionado problema de seguridad se basa en el concepto del Cross Site
Scripting (XSS) -aunque en este caso concreto no es posible inyectar
código-, y permite mostrar un mensaje arbitrario en la página web de inicio
de sesión.
Las posibilidades de ataque son limitadas, ya que previamente el agresor
debe enviar al usuario de RemotelyAnywhere el enlace con la dirección que
incluye la inyección del mensaje, y convencerlo para que visite la
dirección. Al visitar la referida página aparecerá el mensaje que el
atacante ha incluido en el formulario de inicio de sesión del programa, en
el que se solicita que establezca una nueva contraseña.
Este tipo de ataques, basados en Cross Site Scripting -y similares- son cada
vez más comunes. El problema puede prevenirse desde la parte del servidor
web, evitando la posibilidad de inyectar scripts o mensajes desde una URL.
Por su parte, los usuarios deben desconfiar de los enlaces que les lleguen a
través de e-mail, o de los que se encuentren en páginas web no fiables y les
dirijan a sitios en los que se maneja información confidencial (como, por
ejemplo, sistemas de banca electrónica). En estos casos es preferible
teclear directamente la dirección en el navegador o tenerla en el listado de
favoritos.
Exploit:
https://host:2000/default.html?logout=asdf&reason=Please%20set%20your%20password%20to%20ABC123%20after%20login
Publicidad