¿Alguna de las vulnerabilidades causadas por un corto circuito del analizador XML del navegador?

Question

¿Alguna de las vulnerabilidades causadas por un corto circuito del analizador XML del navegador?

#1 de jupenur (2 votos)

3

He encontrado una forma de obligar a un sitio a devolver XML de tipo de contenido al navegador del usuario, aunque el contenido sea HTML. Luego, el navegador interpreta este sitio como XML y arroja un error ya que el HTML contiene Javascript que no se decodifica a XML válido. Los navegadores principales devuelven diferentes niveles de información, pero FF me muestra:

XML Parsing Error: not well-formed Location: http://www.example.com/return_xml

Line Number 30, Column 1: var y= (a && a.b ...

El segundo símbolo & rompe el analizador XML. ¿Qué tipo de ataques podrían ejecutarse desde este (si hay alguno)?

Mi primer pensamiento fue XXE, pero creo que los navegadores lo deshabilitan de forma predeterminada. ¿Suena esto como una no vulnerabilidad?

web-browser html xss xml xxe

pregunta iso123 28.11.2016 - 18:58

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-browser html xss xml xxe

¿Dos CA intermedias firmadas por la misma CA raíz confiarán en los certificados firmados del cliente? ¿Se usa Shadow-Stack solo para anti-BufferOverflows?

score 2 · Accepted Answer

Por sí mismo esto no es una vulnerabilidad. Si la representación XML (válida o no) fuera algo peligrosa, los navegadores no lo permitirían en primer lugar.

No poder hacer que sea válido XML descarta XSS, ya que el contenido tendría que representarse para que funcione. Además, si hubiera una vulnerabilidad XSS en la página, probablemente sería explotable incluso cuando se procesa como HTML.

Sin embargo, hay un ataque que me viene a la mente: Descarga de archivos reflejada. Si puede modificar tanto el final de la ruta URL como partes del contenido del documento, puede crear un enlace que haga que la página se descargue con una extensión de nombre de archivo "incorrecta", como .bat o %código%. La ejecución de este archivo localmente ejecutaría un script malicioso en la máquina víctima, por ejemplo. para descargar malware.

Esto no funcionaría en todos los navegadores; Safari e IE8 parecen ser los únicos que descargan archivos XML en lugar de intentar renderizarlos. E incluso en ese caso, el ataque depende de que el atacante pueda inyectar suficiente contenido para hacer que el documento sea un script ejecutable válido en algún idioma que no sea HTML o XML.

Hay un buen informe sobre RFD (por Oren Hafif) aquí , incluido un montón de detalles sobre diferentes comportamientos del navegador y posibles formas de explotación.