Se ha descubierto una vulnerabilidad en ASP.NET que podría
(potencialmente) ser explotada por usuarios maliciosos para realizar
ataques de inyección de scripts y de cross site scripting.
Dicha vulnerabilidad se debe a un error de validación de entradas en
el filtrado de caracteres HTML especiales cuando se dan como de tipo
unicode en los mecanismos de seguridad «Request Validation» y
«HttpServerUtility.HtmlEncode». Esta circunstancia puede ser explotada
para, por ejemplo, ejecutar código HTML arbitrario en la sesión del
navegador de la víctima. La explotación con éxito de esta
vulnerabilidad requiere que la codificación de la respuesta se haga
con una codificación ASCII nacional (lo que no es una configuración
por defecto).
La vulnerabilidad ha sido confirmada en la versión 1.1.4322.573 de
Microsoft .NET Framework, aunque también se ha informado sobre ella en
las versiones 1.0 (con SP2 y anteriores) y la 1.1 (con SP1 y
anteriores).
Se recomienda activar las respuestas como unicode (que es la
configuración por defecto).
jcanto@hispasec.com
Más información:
XSS vulnerability in ASP.Net
http://it-project.ru/andir/docs/aspxvuln/aspxvuln.en.xml
