Home > Notícias

Browsers enfrentam ameaça tripla

Pesquisador de segurança apontou três falhas na manipulação de cookies, uma delas foi descoberta há 8 anos e ainda não foi atualizada

Matthew Broersma - Techworld

01/02/2006 às 17h46

Foto:

O pesquisador polonês da área de segurança Michael Zalewski apontou três falhas na manipulação de cookies, que poderiam ser usadas para realizar ataques em sites de e-commerce. Uma delas foi descoberta há 8 anos, mas ainda não foi corrigida na maioria dos browsers.

Os bugs, chamados por Zalewski de "cross site cooking", possibilitam (de maneira incrivelmente fácil) o envio de cookies farsantes por sites maliciosos, que serão disseminados por visitantes inocentes", segundo o pesquisador em um post no fórum de segurança BugTraq.
Ele disse que o ataque de "cooking" pode ser usado contra sites de e-commerce para sobrescrever lista de favoritos, identificadores de sessão, dados de autenticação e informações sobre compras anteriores, facilitando a atividade fraudulenta.

Os cookies são usados para promover maior interatividade com os usuários, permitindo que o site registre suas preferências, as compras já efetuadas e outras informações.

Em alguns sites, os hackers estão habilitados para obter falsas credenciais. "Numerosos scripts da web são um alvo fácil para alguns tipos de ataques", afirmou Zalewski.
O primeiro problema envolve a maneira com que os browsers arquivam o domínio especificado no cookie. Teoricamente, os navegadores deveriam rejeitá-los quando o domínio especificado possui nomes muito abrangentes, mas o mecanismo não funciona em browsers do Mozilla; já o Internet Explorer aparentemente está imune, segundo Zalewski.

O bug vem de alguns sites de domínios internacionais, vulneráveis a determinados tipos de ataques, disse Zalewski. "O cookie pode ser ajustado para *com.pl ou * com.fr, e cancelar ou corromper parâmetros de centenas de milhares de sites de e-commerce desse país," disse. "O hacker também pode estabelecer uma sessão ID do hacker no computador do internauta, e eficazmente roubar suas credenciais quando este acessar o site alvo".

A única solução para este problema deve ser fazer alterações no formato HTTP do cookie, disse Zalewski. Como um paliativo, os browsers poderiam implementar uma lista dos domínios com maior potencial de ataque.

O segundo problema é que os browsers - inclusive o Firefox e o Internet Explorer - não identificam se há diferença nos domínios registrados por um cookie em um período de tempo. "O browser pode ajustar o cookie para ?.com? , e depois encaminhar o internauta para http://www.victim.com", disse Zalewski.

Ele disse que esse bug foi manchete há oito anos pelo pesquisador Benjamin Franz. "As empresas de browser foram notificadas em 1998 e certamente não se importaram em consertar esses erros", ele disse.

De qualquer maneira, a solução para esse problema está com os vendedores de browser, argumentou Zalewski. Eles devem excluir os períodos inativos dos dados dos domínios dos cookies.

Finalmente, Zalewski mostrou o terceiro problema, que poderia ser facilmente usado para transmitir cookies maliciosos a sites terceiros através de visitantes aleatórios. "Assim, uma nova marca de identificação pode ser temporariamente disseminada pelo usuário, e usada para executar determinadas tarefas indesejáveis ou maliciosas no site alvo", disse.
Os sites podem reduzir o risco deste terceiro tipo de ataque tomando mais cuidado ao realizar suas vendas, requerendo e validando com cuidado cabeçalhos do "host" HTTP/1.1. "Isto assegura que o browser que está utilizando verificou o nome do site", disse.

Tags

Junte-se a nós e receba nossas melhores histórias de tecnologia. Newsletter por e-mail Newsletter por e-mail