Se ha encontrado un medio por el cual cualquier sitio web puede
visualizar la información almacenadas en las cookies por Internet
Explorer.
Las cookies representan un medio para que los servidores Internet
puedan «recordar» la información entre las diferentes visitas que
realice al sitio. Son pequeños archivos de texto almacenados en el
disco duro de los usuarios y contienen diversos datos con preferencias
del usuario e incluso passwords. Para proteger la información las
cookies sólo permiten la lectura de su contenido a direcciones del
dominio que creo la cookie.
Pero si el navegador empleado por el usuario es Internet Explorer la
protección asociada a las cookies puede ser evitada de forma que
cualquier sitio web puede leer el contenido de las cookies aunque no
pertenezcan a su dominio.
Un ejemplo del problema queda demostrado en la siguiente dirección:
http://www.hispasec.com%2fleecookie.htm%3f.amazon.com
que lee la cookie procedente de amazon.com, basta con sustituir
.amazon.com por cualquier otro dominio La extraña dirección se forma
a partir de reemplazar las / por %2f y la interrogación (?) por %3f en
la dirección http://www.hispasec.com/leecookie.htm?.amazon.com. De
esta forma se consigue evitar la protección, IE cree que la página
se localiza realmente en el dominio amazon.com y permite la lectura
de la cookie.
Para leer la cookie basta con emplear la función javascript
document.cookie, de forma que la página html que lee la cookie
simplemente contiene las instrucciones:
document.write(document.cookie). Pero como se puede observar todo el
secreto reside en la sustitución de los caracteres en la URL, ya que
al introducir la url correctamente construida la cookie no se
visualiza.
Como es habitual en estos casos la única solución para evitar el
problema pasa por desactivar JavaScript en Internet Explorer, por
otra parte los navegadores de Netscape no se ven afectados por este
fallo.Microsoft ha comunicado que ya trabaja en un parche para
solucionar la vulnerabilidad.
Más información:
Peacefire.org (demostración)
ZdNet
Cnet
MSNBC
Newsbytes
Computerworld
antonior@hispasec.com
Deja una respuesta