Bilgiye erişmek ve bilgi sızdırmak için CSRF saldırıları tetiklenebilir
Bir güvenlik araştırmacısı, Acronis yazılımında veri hırsızlığı için kötüye kullanılabilecek bir CSS ekleme hatası olduğunu açıkladı.
4 Kasım’da,’Orta‘ (‘mr-medi’ takma adı altında), güvenlik açığının teknik bir analizini yayınladı, şimdiye kadar buldukları “favori hata” olarak tanımladıkları bir istemci tarafı yol geçiş saldırısı.
Güvenlik açığı, Acronis bulut yönetim konsolunda mevcuttu. Yazılım, bulut yedeklemeleri ve kaynak izleme dahil olmak üzere Acronis hizmetlerini yönetir.
Yol geçişi
Araştırmacıya göre, web’e bakan bir URL, otomatik olarak . Ardından istek devam ederken bir CSS dosyası da istenir ve yüklenir.
Ancak, bu CSS dosyası istendiğinde, ön uç kodu değerleri temizlemez, bu nedenle bir saldırganın aynı dosyayı farklı bir yoldan talep ederek bir yol geçişi gerçekleştirmesi mümkündür.
Bu göreli yol üzerine yazma, saldırganların bir istek göndermesine ve kötü amaçlı bir CSS dosyasının depolandığı harici bir etki alanına yönlendirmeye zorlamasına olanak tanıyan bir açık yönlendirme ile birleştirmediğiniz sürece, özünde önemli bir hata değildir.
En son web güvenliği araştırmalarını yakalayın
Medi, kullanıcının parametreyi kontrol edebileceği, savunmasız bir API uç noktası ve Konum HTTP üstbilgisi kombinasyonu keşfetti. Bu, araştırmacının renk uyumu parametre ve bir yönlendirme, etki alanına işaret eder, böylece kullanıcı bilgilerinin “CSS özellikleri kullanılarak” dışarı sızması sağlanır.
Bilgiler, siteler arası istek sahteciliği (CSRF) belirteçlerini, kişisel verileri, iş ortağı karmalarını ve hazırlanmış CSS dosyasının enjekte edildiği Belge Nesne Modeli’nde (DOM) bulunan diğer verileri içerebilir.
“CSS dosyamızı tarafımızca barındırılan bir etki alanında belirtirsek, gibi CSS özelliklerini kullanarak harici bir görüntü yükleyerek istekler yoluyla CSRF saldırısını gerçekleştirebilir veya gibi kullanıcı bilgilerini sızdırabiliriz. [an] IP, Yönlendirme başlığı veya Kullanıcı Aracısı, ”diye açıkladı araştırmacı. “Yerel sunucumu kullandım ancak sahip olduğunuz herhangi bir harici etki alanında kontrol edebilirsiniz.”
Zincirleme tepki
Video tabanlı bir Kavram Kanıtı (PoC) saldırısı yayınlandı. Medi ayrıca bu tekniğin göreli yol üzerine yazma işlemleri ve yola bağlı stil sayfası içe aktarma (PRSSI) güvenlik açıklarıyla zincirlenebileceğini öne sürdü.
Medi anlattı Günlük Swig: “Bu, istemci tarafına dayalı bir saldırı olduğu için asıl risk, [being able to] güvenlik açığı bulunan sayfada ve CSRF saldırılarında bulunan sızma bilgileri. Hatanın türü, JavaScript’in kullanıcı girdisini nasıl işlediğine ve bu parametrenin amacına bağlıdır.
“Örneğin, Acronis’te güvenlik açığı bulunan sayfa, müşterileri hakkında değerli bilgiler içeren yönetici panosuydu. [and] parametre, stilleri dinamik olarak uygulamak için kullanıldı […] Diğer senaryolar, herhangi bir HTTP yöntemiyle CSRF gibi daha ciddi sorunlarla XSS’ye yol açmayı içerebilir.”
Medi’nin bulguları HackerOne platformu aracılığıyla özel olarak ifşa edildi ve kusur 13 Ocak’ta düzeltildi. 250 dolarlık bir hata ödülü verildi.
Medi, hatanın çözüldüğünü doğruladı. Acronis ekibi, HackerOne’da güvenlik açığını yansıyan siteler arası komut dosyası çalıştırma (XSS) saldırısına benzetti.olor_schemes kullanımda, nispeten düşük hata ödülünü açıklar.
Günlük Swig daha fazla yorum için Acronis’e ulaştı ve bu hikayeyi duyduğumuz anda güncelleyeceğiz.
ŞUNLAR DA HOŞUNUZA GİDEBİLİR Gatsby, Cloud Image CDN’de SSRF, XSS hatalarını yamalıyor