Críticas a Google por no preocuparse de vulnerabilidades XSS que no afectan a su propio sitio web
Las vulnerabilidades XSS son muy frecuentes en las aplicaciones web, y permiten ejecutar scripts (generalmente escritos en JavaScript) dentro del código de las páginas de estas aplicaciones. Al ejecutar estos scripts, cualquier atacante puede conseguir por ejemplo hacerse con las cookies de un usuario, redireccionar a este a una tercera página web, o escribir textos dentro de los contenidos web.
A estos agujeros de seguridad no se escapa ni Google, y se han detectado decenas de ellos durante los últimos años
([1],
[2],
[3],
[4],
[5],
[6]), e incluso ha obligado a la compañía a crear una herramienta propia para su detección.
Robert Hansen (Rsnake, responsable de 'ha.ckers.org') es un experto en XSS y bastante aficionado a detectar este tipo de vulnerabilidades en los sitios web de Google, y acaba de detectar otra, esta vez dentro de los 'Google Gadgets'. Se trata de que cualquier creador de estos gadgets que los aloje dentro del dominio 'gmodules.com' (el que utiliza Google para alojar la colección oficial de gadgets creados por los desarrolladores) puede insertar código JavaScript para intentar confundir al usuario. Si haces click en este enlace podrás comprobar que hay un agujero XSS.
Hansen afirma que, de esta manera, alguien puede insertar un 'Google Gadget' "malicioso" en su página web, y éste puede redireccionar automáticamente al usuario a un tercer sitio web, el cual puede ser por ejemplo una página con la misma apareciencia que intente pedir el nombre de usuario y contraseña (Phising). El dominio 'gmodules.com' es considerado por muchos filtros anti-phising como un sitio seguro, por lo que no detectarían nunca un posible intento de esta práctica. Sin embargo, desde Google aseguran a Hansen que este asunto es un "comportamiento esperado" de la aplicación, y que no van a tomar cartas en el asunto puesto que no es posible robar las cookies de 'google.com' (efectivamente, es así, puesto que se ejecuta en 'gmodules.com').
Hansen está bastante enfadado con esta respuesta, y se pregunta si Google solamente se preocupa por su propia seguridad (que nadie robe contraseñas de las cuentas de usuario de Google) y no por la de los consumidores.
Publicado el 18 de agosto de 2007 | Categoría: problemas
Puedes dejar un comentario sobre la noticia del post rellenando y enviando el siguiente formulario. Los campos marcados con asterisco (*) son obligatorios.
|
