Apple.com XSS Exploit fundet på iTunes-webstedet

osxdaily æble

Opdatering: Apple har rettet udnyttelsen!

Jeg kan forestille mig, at dette vil blive rettet forholdsvis hurtigt, men du kan gøre nogle sjove (og muligvis skræmmende) ting med Apple.coms iTunes Affiliate-websteder bare ved at ændre webadresseparametrene. Den modificerede Apple.com-URL er dannet som følger:
http://www.apple.com/itunes/affiliates/download/?artistName=OSXDaily.com&thumbnailUrl=http://cdn.osxdaily.com/wp-content/themes/osxdaily-leftalign/img/osxdailylogo2.jpg&itmsUrl=http://www.osxdaily.com&albumName=Best+Mac+Blog+Ever

Klik her for OSXDaily.com versionen af XSS udnytte på Apple.com - det er sikkert, det viser bare, hvad der er på ovenstående screenshot.

Du kan sætte hvad du vil i webadressen ved at ændre tekst- og billedforbindelserne, hvilket har ført til nogle yderst sjove versioner af Apples iTunes-websted. Andre brugere har yderligere ændret webadressen til at kunne inkludere andre websider, javascripts og flash indhold via iFrames af andre websteder, hvilket åbner døren for alle mulige problemer. På dette tidspunkt er det kun sjovt, fordi ingen har brugt det til skræmmende formål, men hvis hullet er åbent for længe, vær ikke overrasket, hvis nogen gør det. OS X Daily Reader Mark sendte dette tip ind med et ændret link, der åbnede en række popup-vinduer og havde en iframe, der viste mindre end vildt indhold, vist under den tilsyneladende (selvom hackede) Apple.com-branding, og det er netop den slags ting der skal undgås. Lad os håbe, at Apple retter dette hurtigt.

Her er nogle flere skærmbilleder, der viser, hvordan URL-modifikationen i aktion bevares for eftertiden:

windows7 æble