Recientemente Tumblr fue golpeado por un gusano de rápida propagación .
¿Cómo funcionó el gusano? ¿Cuál fue la vulnerabilidad en Tumblr que explotó? ¿Explotó una vulnerabilidad XSS en Tumblr? ¿Una vulnerabilidad CSRF en Tumblr? ¿Algo más?
Información parcial: Sophos tiene publicación de blog sobre el gusano. Sin embargo, es extrañamente silencioso sobre los detalles exactos de la vulnerabilidad que el gusano explotó. Aparentemente, si visitó una página de Tumblr que había sido infectada (con contenido malicioso), entonces Javascript malintencionado en la página haría que su navegador envíe una solicitud a Tumblr para enviar la publicación infectada a su propia página de Tumblr ... propagando así gusano más lejos. Sin embargo, todavía tengo que preguntarme: ¿cómo fue esto posible, sin la participación del usuario? ¿Tumblr olvidó incluir alguna protección CSRF en su función de creación de cuñas? ¿Y no filtran el contenido que publicas en tu página de Tumblr para eliminar Javascript antes de publicar? Vi algunas especulaciones de que el uso de un data: // URL podría haber evitado las defensas de Tumblr de alguna manera; ¿tenían un filtro HTML que intentara eliminar todo Javascript, pero inadvertidamente permitía Javascript si aparecía en un data: // URL, o algo así? Parece que podría ser una combinación de una vulnerabilidad CSRF más una vulnerabilidad XSS, pero no puedo encontrar ninguna explicación técnica detallada de lo que está sucediendo exactamente. ¿Cómo funcionó esta cosa?