YouTube vulnerabil la injectare de cod HTML în sistemul de comentarii

Astăzi, de ziua națională a lu’ unchiu’ Sam, marele YouTube a fost prins cu pantalonii în vine. La mai multe clipuri (în majoritate muzicale) cu numeroase accesări cineva (o fi oare vreun pui de hacker?) a introdus la un moment dat câte un comentariu prin intermediul căruia a reușit să injecteze în pagina respectivă un script (Javascript) încapsulat într-o secvență de cod HTML, exploatând o vulnerabilitate a sistemului de comentarii YouTube.

Se pare că bug-ul a fost exploatat plasând un tag <script> la începutul unui comentariu (codul HTML ar trebui în mod normal să fie restricționat în comentarii). De fapt în locul parantezelor unghiulare < și > care delimitează tag-ul HTML au fost introduse secvențele escape din HTML &lt; și &gt; care sunt interpretate ca și caracterele < (lt = less than) și respectiv > (gt = greater than). Ceea ce urmează după tag-ul respectiv pare să fi fost injectat în pagină ca script.

Una din secvențele HTML interesante dintr-o pagină YouTube atacată este:

<div class=”metadata”>
<div>
<a class=”author” href=”/user/leojisgood” title=”leojisgood”>leojisgood</a>
</div>
<div>
<span class=”time”>36 minutes ago</span>
</div>
</div>
<div class=”content”>
<div class=”comment-text”>
&lt;script&gt;&lt;script&gt;IF_HTML_FUNCTION<wbr>?<h1><marquee><fontcolor=”red”><u>Hacked You All! Haha!!!<script>
</div>
<div>
<a href=”/user/leojisgood”>leojisgood</a>
<span>36 minutes ago</span>
</div>
</div>

Au fost raportate diverse efecte create de codul injectat astfel în diverse pagini YouTube.

Unul din rezultate a fost faptul că nu se mai afișau comentariile din pagină anterioare comentariului buclucaș, însă efecte mai interesante au fost diverse texte scrise cu caractere mari și roșii care defilau peste pagină, redirectări la alte site-uri (pornografice și nu numai), afișarea unor ferestre pop-up anunțând, de exemplu, presupusa moarte a lui Justin Bieber într-un teribil accident de mașină etc.

Până la ora actuală Google a eliminat comentariile cu pricina dar încă nu a făcut niciun fel de comunicare oficială referitoare la incident.

Share on Facebook
Share on LinkedIn

Publicat în: eCrimeNoutăţi

Etichete:

Despre autor: Pentru că de felul lui se plictisește repede, este mereu dependent de noutăţi, motiv pentru care consumă agregatoarele de ştiri, RSS-uri sau blogurile cu noutăţi şi bârfe ca pe sticksuri. Vrei să afli ce produs va lansa Apple peste 2 ani sau când va reuşi Microsoft să facă un sistem de operare ca lumea? Porumbelul e omul tău. Joacă rolul poştaşului și răspândacului, ocupându-se de propagarea noutăţilor importante din IT.

RSSComentarii (0)

URL trackback

Comentează




Dacă vrei să apară o poză la comentariul tău, fă-ți rost de un Gravatar.