2.1 CVE-2012-2071

XSS Patch
 

A vulnerabilidade de cross-site scripting (XSS) no módulo Formulários de contato 6.x-1.x antes de 6.x-1.13 para Drupal quando o formulário de contato principal está ativado, permite que usuários remotos autenticados com a permissão de formulário de contato de administração em todo o site injetar script da web arbitrário ou HTML por meio de vetores não especificados.
https://nvd.nist.gov/vuln/detail/CVE-2012-2071

Categorias

CWE-79 : Neutralização imprópria de entrada durante a geração da página da Web ('Cross-site Scripting')
O software não neutraliza ou neutraliza incorrectamente a entrada controlável pelo utilizador antes de ser colocado na saída que é utilizada como uma página web que é servida a outros utilizadores. XSS" é uma abreviatura comum para "Cross-Site Scripting". A "HTML injection" é utilizada como sinónimo de XSS armazenado (Tipo 2). Nos primeiros anos após a descoberta inicial do XSS, "CSS" era uma sigla comummente utilizada. No entanto, isto causaria confusão com "Cascading Style Sheets", pelo que a utilização deste acrónimo tem diminuído significativamente. Usar ferramentas de análise estática automatizada que visam este tipo de fraqueza. Muitas técnicas modernas utilizam a análise do fluxo de dados para minimizar o número de falsos positivos. Esta não é uma solução perfeita, uma vez que 100% de precisão e cobertura não são viáveis, especialmente quando estão envolvidos múltiplos componentes. Use a Folha de Dados XSS [REF-714] ou ferramentas automatizadas de geração de testes para ajudar a lançar uma grande variedade de ataques contra a sua aplicação web. A Folha de Consulta contém muitas variações XSS subtis que são especificamente dirigidas contra defesas XSS fracas. Compreenda todas as áreas potenciais onde entradas não confiáveis podem introduzir o seu software: parâmetros ou argumentos, cookies, qualquer coisa lida a partir da rede, variáveis de ambiente, pesquisa de DNS invertido, resultados de consultas, cabeçalhos de pedidos, componentes URL, e-mail, ficheiros, nomes de ficheiros, bases de dados, e quaisquer sistemas externos que forneçam dados à aplicação. Lembre-se de que tais entradas podem ser obtidas indirectamente através de chamadas API. Para quaisquer verificações de segurança que sejam realizadas do lado do cliente, assegurar que estas verificações sejam duplicadas do lado do servidor, a fim de evitar a CWE-602. Os atacantes podem contornar as verificações do lado do cliente, modificando os valores após as verificações terem sido executadas, ou alterando o cliente para remover completamente as verificações do lado do cliente. Então, estes valores modificados seriam submetidos ao servidor. Se estiverem disponíveis, utilizar mecanismos estruturados que automaticamente imponham a separação entre os dados e o código. Estes mecanismos podem ser capazes de fornecer automaticamente a citação, codificação e validação relevantes, em vez de dependerem do programador para fornecer esta capacidade em todos os pontos onde a saída é gerada. Com Struts, escrever todos os dados dos feijões de formulário com o atributo de filtro do feijão definido como verdadeiro. Para ajudar a mitigar os ataques XSS contra o cookie de sessão do utilizador, definir o cookie de sessão para ser HttpOnly. Em navegadores que suportam a funcionalidade HttpOnly (como as versões mais recentes do Internet Explorer e Firefox), este atributo pode impedir que o cookie de sessão do utilizador seja acessível a scripts maliciosos do lado do cliente que utilizam document.cookie. Esta não é uma solução completa, uma vez que o HttpOnly não é suportado por todos os navegadores. Mais importante ainda, XMLHTTPRequest e outras tecnologias de browser poderosas fornecem acesso de leitura aos cabeçalhos HTTP, incluindo o cabeçalho Set-Cookie no qual a bandeira HttpOnly está definida. Quando o conjunto de objectos aceitáveis, tais como nomes de ficheiros ou URLs, é limitado ou conhecido, criar um mapeamento a partir de um conjunto de valores de entrada fixos (tais como IDs numéricos) para os nomes de ficheiros ou URLs reais, e rejeitar todas as outras entradas. Utilizar uma firewall de aplicação que possa detectar ataques contra esta fraqueza. Pode ser benéfico nos casos em que o código não pode ser fixado (porque é controlado por terceiros), como medida de prevenção de emergência enquanto são aplicadas medidas de garantia de software mais abrangentes, ou para fornecer defesa em profundidade. Ao utilizar PHP, configurar a aplicação de modo a que não utilize register_globals. Durante a implementação, desenvolver a aplicação de modo a que não confie nesta característica, mas tenha cuidado ao implementar uma emulação register_globals que esteja sujeita a pontos fracos como CWE-95, CWE-621, e questões semelhantes. O Gestor da Biblioteca Python não neutralizou suficientemente um termo de pesquisa fornecido pelo utilizador, permitindo o XSS reflectido. A plataforma de comércio electrónico baseada em Python não escapou ao conteúdo devolvido nas páginas de erro, permitindo ataques de "Cross-Site Scripting" reflectidos. XSS universal no sistema operativo móvel, tal como explorado na natureza por CISA KEV. Cadeia: validação de entrada imprópria (CWE-20) no produto de firewall leva ao XSS (CWE-79), tal como explorado na natureza por CISA KEV. Admin GUI permite XSS através de cookie. O programa de estatísticas da Web permite XSS através de cabeçalhos HTTP criados. O produto de análise de registo Web permite XSS através de cabeçalho HTTP Referer criado. Chain: falha do mecanismo de protecção permite XSS Chain: denylist incompleto (CWE-184) apenas verifica a tag "javascript:", permitindo XSS (CWE-79) usando outras tags Chain: denylist incompleto (CWE-184) apenas remove tags SCRIPT, permitindo XSS (CWE-79) XSS reflectido usando a tag PATH_INFO num URL Reflected XSS não manipulado correctamente ao gerar uma mensagem de erro XSS reflectido enviado através de mensagem de correio electrónico. XSS armazenado num produto de segurança. Armazenou XSS usando uma página wiki. Armazenou XSS numa aplicação do livro de visitas. Armazenou XSS numa aplicação do livro de visitas utilizando um javascript: URI numa etiqueta bbcode img. Chain: ficheiro de biblioteca não está protegido contra um pedido directo (CWE-425), levando ao reflectido XSS (CWE-79).

Referências


 

CPE

cpe começar fim
Configuration 1
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.1:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.2:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.3:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.4:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.5:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.6:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.7:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.8:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.9:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.10:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.11:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.12:*:*:*:*:*:*:*
   cpe:2.3:a:geoff_davies:contact_forms:6.x-1.x:dev:*:*:*:*:*:*
  Running on/with
  cpe:2.3:a:drupal:drupal:-:*:*:*:*:*:*:*

Exploits

id descrição datado
Nenhum exploit conhecido

CAPEC

id descrição gravidade
591 XSS refletido
Muito alto
592 XSS armazenado
Muito alto
85 AJAX Footprinting
Baixo
63 Cross-Site Scripting (XSS)
Muito alto
209 XSS usando incompatibilidade de tipo MIME
Média
588 XSS baseado em DOM
Muito alto

Sherlock® flash

Tire uma foto da sua rede informática em poucos cliques !

A solução de auditoria Sherlock® flash permite-lhe realizar uma auditoria para reforçar a segurança dos seus activos informáticos. Vulnerabilidade do seu equipamento físico e virtual. Planeamento de correcções por nível de prioridade e tempo disponível. Relatórios detalhados e intuitivos.

Descubra esta oferta

Sherlock® flash: 1ª solução instantânea de auditoria cibernética de segurança