Tietoturva nyt!

3.1.2008

Eräät automaattiset Flash-työkalut tuottavat XSS-haavoittuvuuksia sisältäviä SWF-tiedostoja

Eräiden yleisesti käytettyjen Shockwave Flash (SWF) -tiedostoja automaattisesti tuottavien työkalujen on havaittu tuottavan web-sisältöä, joka sisältää Cross-Site Scripting (XSS) -haavoittuvuuksia. XSS-haavoittuvuudet mahdollistavat tyypillisesti hyökkääjän oman JavaScript-koodin suorittamisen haavoittuvan sivuston kontekstissa. Tietyissä olosuhteissa ne saattavat antaa hyökkääjälle muun muassa mahdollisuuden hankkia luottamuksellisia tietoja, muuttaa tapaa, jolla haavoittuva sivusto näkyy www-selaimessa tai suorittaa käyttäjän nimissä toimia haavoittuvalla sivustolla. XSS-haavoittuvuuksien hyväksikäyttäminen tapahtuu tyypillisimmin houkuttelemalla käyttäjä seuraamaan tietyllä tavalla muotoiltua linkkiä.

Ongelma on raportoitu ohjelmistojen valmistajille ja useisiin XSS-haavoittuvuuksia sisältäviä tiedostoja tuottaviin ohjelmistoihin on julkaistu ongelman korjaavia päivityksiä jo aikaisemmin. Osa julkisesti raportoiduista haavoittuvuuksista on korjattu myös Abode Flash Playerin versiossa 9.0.115.0, jossa korjattiin myös muita vakavampia haavoittuvuuksia. CERT-FI on julkaissut korjauksesta myös haavoittuvuustiedotteen.

Lisätietoa

• http://www.kb.cert.org/vuls/id/249337
• http://www.adobe.com/support/security/advisories/apsa07-06.html
• http://docs.google.com/View?docid=ajfxntc4dmsq_14dt57ssdw

Sivua päivitetty 03.01.2008

Tulostusversio