Reflektiertes Cross-Site Scripting (XSS) auf zillo.de

Mon, 11 Jun 2007 16:57:01 +0100

Neues Themengebiet, erster Eintrag: Sicherheitshinweise verschiedenster Art, auf Webseiten oder in Anwendungen. Kurz: Security Advisories. Hier der Anfang einer hoffentlich nie zu lang werdenden Serie...

Kennung: KSA-2007-06-11

Risiko: gering

Status: behoben

Versionshistorie

2007-06-11: erste Veröffentlichung

Kategorie: Reflektiertes Cross-Site Scripting

Zusammenfassung: Reflektiertes Cross-Site Scripting (XSS) auf zillo.de

Beschreibung

Der Webshop des in Deutschland recht bekannten Musikmagazines Zillo war bis zum 30.6.2007 anfällig für reflektiertes Cross-Site Scripting. Ursache hierfür war eine nicht überprüfte, vom Besucher übergebene Variable.
Dies hätte von einem böswilligen Angreifer für Phishingangriffe verschiedenster Art genutzt werden können.

Technische Details

Das Skript "show_artikel.cgi" im Shop von zillo.de überprüfte die übergebene Variable "artikel" nicht auf Gültigkeit. Der übergebene Wert wurde wieder ausgegeben, was zum Einschleusen von HTML- oder JavaScript-Code genutzt werden konnte.

Anmerkungen

Die Verantwortlichen bei zillo.de reagierten schnell und interessiert. Im Laufe einer weiteren kurzen -durch den Webmaster herausgeforderten- Betrachtung der Seite wurde innerhalb kürzester Zeit eine weitere Lücke entdeckt. Details dazu folgen nach einer angemessenen Vorwarnzeit für den Hersteller. Mit neuen derartigen Lücken ist auf Grund der Einfachheit der bisherig gefundenen zu rechnen.

Zeitlicher Ablauf der Veröffentlichung

2007-05-19: Entdeckung der Lücke durch Sven Krohlas und Information des Herstellers
2007-05-30: Lücke wurde vom Hersteller als behoben gemeldet
2007-06-11: Veröffentlichung der Lücke

Zeit von der Entdeckung bis zur Behebung: 12 Tage.

Querverweise zum Thema XSS

Svens Blog - Security Advisories

Reflektiertes Cross-Site Scripting (XSS) auf zillo.de