آسیب‌پذیری اصلاح‌نشده‌ی Wix.com میلیون‌ها وب‌گاه را در معرض خطر قرار می‌دهد

۵میزبان وب ابری Wix.com در مقابل یک شکاف تزریق کد مبتنی بر DOM۱ آسیب‌پذیر است؛ این آسیب‌پذیری به نفوذگران اجازه می‌دهد کنترل هر یک از میلیون‌ها وب‌گاهی را که در این بستر میزبانی می‌شوند در اختیار بگیرند.
نفوذگران به سادگی و با اضافه کردن یک پارامتر در هر یک از وب‌‌گاه‌های ایجادشده روی Wix می‌توانند جاوااسکریپت خاص خود را بارگذاری کرده و آن را به عنوان بخشی از وب‌گاه هدف حمله به اجرا درآورند.
روز چهارشنبه اعلام شد که این آسیب‌پذیری کماکان بدون وصله باقی مانده است، این در حالی است که تلاش‌های بسیاری برای هشداردهی و اطلاع‌رسانی به Wix.com از ابتدای اکتبر صورت گرفته است. نمایندگان Wix.com در رابطه با این خبر هیچ اظهار نظری نکرده‌اند. براساس برآوردهای انجام‌شده از سوی خود Wix.com، این بستر حدود ۸۶ میلیون کاربر دارد. برخلاف بسته‌های نفوذی تزریق کد همیشگی و قدیمی، این بار یک محتوای مخرب در صفحه‌ای در پاسخ به درخواست HTTP یا HTTPS رها می‌شود، حمله‌ی تزریق کد مبتنی بر DOM محیط مدل شی‌گرای سند یا همان دام را در مرورگر مورد استفاده توسط اسکریپت سمت سرویس‌گیرنده تغییر می‌دهد، و کد مخرب روی اجرای کد سمت سرویس‌گیرنده اثر می‌گذارد.

محققان دو سناریوی حمله‌ی انعکاسی تزریق کد دام (DOM) را شرح داده‌اند. یک سناریو شامل مالک وب‌گاه Wix است که به بازدید از یک URL مخرب بارگذاری‌شده به همراه یک جاوااسکریپت دست‌کاری شده فریب داده می‌شود، کدی که می‌تواند جلسات مرورگر کاربر هدف را در اختیار خود درآورد. نفوذگر در ادامه می‌تواند این جلسه‌ی مرورگر کاربر احراز هویت شده را تحت کنترل گرفته، و هر کاری را که می‌خواهد در پوشش یک کاربر مجاز برای سامانه انجام دهد. این رویه شامل دست‌کاری یک وب‌گاه Wix کنترل‌شده توسط قربانی است، و امتیازهای یک مدیر وب‌گاه را به شخص ثالث می‌دهد تا به نفوذ به یک وب‌گاه تجارت الکترونیک Wix بپردازد و به این ترتیب شماره‌های کارت‌ اعتباری را به سرقت ببرد.
کنترل مدیریتی یک وب‌گاه Wix.com ممکن است به‌طور گسترده‌ای برای توزیع بدافزار، ایجاد یک بات‌نت توزیع‌شده و پویای مبتنی بر مرورگر، و کاوش در ارز رمزپایه۲ به کار گرفته شود، یا در غیر این صورت برای کنترل محتوای آن وب‌گاه و نیز کاربرانی که از آن استفاده می‌کنند به کار رود.

در سناریوی دوم یک کاربر به کمک یک URL دست‌کاری شده به بازدید از یک وب‌گاه Wix فریب داده می‌شود. این URL می‌تواند جاوااسکریپت را با استفاده از یک حمله‌ی تزریق کد مبتنی بر دام در وب‌گاه Wix.com هدف بار کند. در یک سناریو وب‌گاه هواداران Wix.com را می‌توان برای دست‌کاری در یک جلسه‌ی مرورگر خاص مورد ویرایش قرار داد تا به این ترتیب بارگیری بدافزار جای بارگیری موزیک را در آن بگیرد یا پرداخت‌های پی‌پال به یک حساب شخص ثالث واریز شوند. در مثال‌های حملات تزریق کد مبتنی بر دام (DOM)، همه‌ی آن چیزی که یک نفوذگر بدان نیاز دارد میزبانی از جاوااسکریپت مخرب روی یک کارگزار و اشاره به آن از طریق یک URL است. برای مثال «http://matt۴۵۹۲.wixsite.com/music?ReactSource=http://m-austin.com» را در نظر بگیرید. در این مثال دامنه‌ی ریشه که «http://matt۴۵۹۲.wixsite.com/music» است با ضمیمه‌ی «?ReactSource=http://m-austin.com» ترکیب شده است و شرایط را برای حمله‌ی تزریق کد مبتنی بر دام برای ارائه‌ی محتوای مخرب مهیا نموده است. بدتر این‌که یک مجرم سایبری با استفاده از این شکاف می‌تواند ابعاد حمله را گسترش دهد و آن را به کرم رایانه‌ای مبدل سازد که در وب‌گاه‌های Wix پخش می‌شود، درست مانند کرم بدنام Samy یا MySpace که در سال ۲۰۰۵ برای انتشار در وب‌گاه‌های شبکه‌های اجتماعی طراحی شده بود. اگر تاریخ همانند سرگذشت کرم MySpace تکرار شود، طولی نخواهد کشید که میلیون‌ها وب‌گاه تحت میزبانی Wix مورد نفوذ قرار بگیرند.

۱. مدل شیءگرای سند یا دام DOM – عنوان یکی از دو معماری اصلی است (در کنار اس‌اِی‌اکس) که براساس آن سندهای اکس‌ام‌ال را به اشیایی که دربردارنده‌ی آن است تجزیه نموده، و آن‌ها را به‌صورت یک ساختار درختی داده‌ها در فضای حافظه‌ی اصلی پهن می‌کند.
۲. Cryptocurrency

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

LinkedInFacebookTwitter