Otras noticias
Más noticias
En el foro
Ir al foro de Seguridad
VULNERABILIDADES

Vulnerabilidad Cross-Site Scripting en Oracle HTTP Server

Se ha descubierto un error de validación en Oracle HTTP Server. Este problema puede permitir a un atacante remoto realizar ataques del tipo Cross-Site Scripting (XSS). Se ha descubierto que el script 'isqlplus' no filtra adecuadamente las entradas dadas por los usuarios en los parámetros 'action', 'username' y 'password'. Un usuario remoto puede enviar una URL especialmente creada que, una vez cargada por la víctima, permitirá la ejecución de código script en el navegador de la víctima.

30 Ene 2004 | HISPASEC
C

omo resultado, este código puede acceder a las cookies asociadas con el sitio web (lo que incluye las de autenticación), o incluso acceder a datos enviados recientemente por la víctima, o realizar acciones en el web actuando como dicha víctima.

 

Se han dado algunas URLs como ejemplo:

http://[victima]/isqlplus?action=logon&username=sdfds%22%3e%3cscript%3ealert('XSS')%3c/script%3e\&password=dsfsd%3cscript%3ealert('XSS')%3c/script%3e

http://[victima]/isqlplus?action=<script>alert('XSS')</script>

Por el momento la compañía no ha publicado parches para corregir este problema, por lo que se recomienda utilizar, por ejemplo, un proxy o un firewall que filtre las entradas maliciosas.

 

Más información:

Oracle HTTP Server 'isqlplus' Input Validation Flaws Let Remote Users Conduct Cross-Site Scripting Attacks

Boletín

Si quieres recibir cada semana las noticias más interesantes suscríbete a nuestro boletín.

Comentarios
LaFlecha.net no se hace responsable del contenido de los comentarios publicados.
#1 | 13 Nov 2004, 20:17
cory HEALY Canada

WWWPASSGIF

Entérate de cuándo hay nuevos comentarios

No se permitirán los comentarios que :
- puedan resultar ofensivos o injuriosos
- incluyan insultos, alusiones sexuales innecesarias y palabras soeces o vulgares
- apoyen la pedofilia, el terrorismo o la xenofobia

Autor
Comentario
BBCode (Ayuda): [b], [i], [u], [s], [quote], [code], [spoiler]
Publicidad
Ahora en LaFlecha puedes encontrar Cursos y Másters

  • ¿Quieres saberlo todo sobre Hacking?