XSS Exploit nalezen na webu Apple iTunes… znovu

Aktualizace: Apple opravil zneužití, níže uvedený odkaz je uchován pro potomstvo, ale již nefunguje, aby zobrazoval něco neobvyklého.

Před několika týdny došlo na webu Apple.com k aktivnímu využití XSS Exploit s jejich webem iTunes. Tipér nám poslal přesně stejné zneužití skriptování napříč weby, které bylo znovu nalezeno na webu Apple iTunes (v tomto případě UK). V důsledku toho se objevují některé docela zábavné variace stránky Apple iTunes a opět některé velmi děsivé, protože výše uvedený snímek obrazovky zobrazuje přihlašovací stránku, která přijímá informace o uživatelském jménu a hesle, uloží tato přihlašovací data na cizí server a poté odešle zpět na Apple.com. Nejnepříjemnější varianta, která se nám poslala, se snažila na můj počítač vložit asi 100 souborů cookie, iniciovala nekonečnou smyčku vyskakovacích oken javascriptu se soubory Flash vloženými do každého z nich a iframed asi 20 dalších prvků iframe, to vše při hraní nějaké opravdu hrozné hudby.

Zde je relativně neškodná varianta adresy URL schopné XSS, iframes Google.com:

http://www.apple.com/uk/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www.google.com/%20width= 600% 20hloubka = 200% 3E% 3C / iframe% 3E & thumbnailUrl = http% 3A // images.apple.com / home / images / promo_mac_ads_20091022.jpg & itmsUrl = http% 3A% 2F% 2Fitunes.apple.com% 2FWebObjects% 2FMZStore.woa % 2Fwa% 2FviewAlbum% 3Fid% 3D330407877% 26s% 3D143444% 26ign-mscache% 3D1 & albumName = a% 20wide-open% 20HTML% 20injection% 20hole

Vytvoření vlastní verze nevyžaduje mnoho úsilí. V každém případě doufejme, že to Apple vyřeší rychle.

Připojeno je několik dalších snímků obrazovky odkazů zaslaných tipérem „WhaleNinja“ (mimochodem skvělé jméno)