Cross-Site-Scripting-Problem in Macromedias ColdFusion
Einige Seiten in Macromedias ColdFusion enthalten Fehler, mit denen ein Angreifer Scripting-Code im HTTP-Header senden kann.
Laut einem Security Advisory des Herstellers Macromedia können mit ColdFusion betriebene Webseiten eine Cross-Site-Scripting-Schwäche (XSS) enthalten. ColdFusion ist eine Java-basierende Server-Applikation, um Web-Content dynamisch auszuliefern.
Die "Site-Wide Error Handler"-Seite sowie die "Missing Template Handler"-Seite filtern den an sie ĂĽbertragenen HTTP-Referer fehlerhaft. Im Referer-Header versteckte Skripte werden an den Browser zurĂĽckgesendet und ausgefĂĽhrt, sofern Scripting zugelassen ist. Die Schwachstelle findet sich zwar in ColdFusion, der Server selbst ist aber nicht verwundbar. Ein Angreifer kann Skript-Code in ein HTML-Dokument einbetten und ĂĽber den fehlerhaften Server das Skript als vertrauenswĂĽrdig erscheinen lassen. Ziel eines Angriffes ĂĽber XSS-Attacken sind immer Anwendern mit Browsern, auf denen Scripting aktiviert ist, um dort zum Beispiel Cookies mit Verbindungsinformationen zu stehlen.
Der XSS-Fehler ist in ColdFusion MX 6.0, 6.1, 6.0 und 6.1 J2EE sowie 5.0 und früheren Versionen enthalten. Macromedia schätzt den Fehler als "important" ein und empfiehlt das sofortige Einspielen der Updates.
Siehe dazu auch: (dab)
- Security Advisory von Macromedia
- Angriffe auf Web-Clients mit Cross-Site- und Cross-Frame-Scripting auf heise Security
