XSS Exploit fundet på Apple iTunes site ... igen

Opdatering: Apple har rettet udnyttelsen, nedenstående link er bevaret til eftertiden, men fungerer ikke længere for at vise noget unormalt.

For et par uger siden var der en aktiv XSS Exploit på Apple.com med deres iTunes-websted. Nå, en tipster sendte os den nøjagtig samme cross site scripting udnyttelse fundet igen på Apple iTunes webstedet (UK i dette tilfælde). Som et resultat er der nogle temmelig underholdende variationer af Apple iTunes-siden, der vises, og igen nogle meget skræmmende, da ovenstående skærmbillede viser en login side, der accepterer brugernavn og adgangskodeoplysninger, gemmer disse login-data på en udenlandsk server og sender derefter du tilbage til Apple.com. Den mest irriterende variant, der blev sendt til os, forsøgte at sprede omkring 100 cookies på min maskine, indledte en endeløs sløjfe af javascript popup-vinduer med Flash-filer indlejret i hver af dem, og iframed omkring 20 andre iframes, alt sammen mens vi spillede nogle virkelig forfærdelige musik.

Her er en forholdsvis harmløs variant af den XSS-kompatible URL, det iframes Google.com:

http://www.apple.com/uk/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www.google.com/%20width= 600% 20height = 200% 3E% 3C / iframe% 3E & thumbnailUrl = http% 3A // images.apple.com / home / images / promo_mac_ads_20091022.jpg & itmsUrl = http% 3A% 2F% 2Fitunes.apple.com% 2FWebObjects% 2FMZStore.woa % 2Fwa% 2FviewAlbum% 3Fid% 3D330407877% 26s% 3D143444% 26ign-mscache% 3D1 & ALBUMNAME = a% 20wide-open% 20HTML% 20injection% 20hole

Det gør ikke meget at gøre din egen version. Anyway, lad os håbe Apple retter dette hurtigt.

Vedhæftet er nogle få skærmbilleder af links sendt af tipster "WhaleNinja" (stort navn forresten)