Cross-Site-Scripting mit Meta-Informationen
Donnerstag, 8. April 2010Datenfelder zur Aufnahme von Meta-Informationen bieten einen weiten Spielraum für kommende Cross-Site-Scripting-Angriffe (XSS), behauptet der Sicherheitsspezialist Tyler Reguly von nCircle. So lässt sich etwa in Whois- und DNS-Datensätzen sowie in SSL-Zertifikaten eingebettetes JavaScript unter bestimmten Umständen im Browser ausführen. Beispielsweise gibt es Web-Dienste, die eine Online-Prüfung von SSL-Zertifikaten von anderen Servern durchführen können. Unter anderem zeigen solche Dienste neben kryptografisch relevanten Informationen auch die Daten zum Inhaber und Aussteller des Zertifikats an.
Weiterlesen @ Heise.de
Quelle: Heise.de 08.04.2010
