Kód byl publikován asi 2 týdny poté, co Microsoft na problém upozornila společnost High-Tech Bridge.
Ačkoliv o závažnosti chyby není známo nic bližšího, experti se útoků obávají. SharePoint se používá v podnikové sféře pro tvorbu portálů i spolupráci na projektech, takže v této aplikaci je uloženo velké množství citlivých dat.
Chyba má mít povahu cross-site scripting a vlastní útočný kód se realizuje prostřednictvím JavaScriptu. Útočníkovi stačí přimět uživatele, aby klikl na odkaz, a poté de facto převezme celý jeho účet se všemi právy. Zranitelnost je tedy zneužitelná především zevnitř, zde je však někoho přimět kliknout na odkaz naopak snadné (jde o „důvěryhodnou“ interní aplikaci). Z hlediska útočníka pak samozřejmě ještě zůstává problém, jak dokumenty, k nimž bude mít v rámci SharePointu přístup, dostat ven z organizace. To záleží na tom, jak účinně půjde zpřístupněný obsah filtrovat a jak jsou ve firmě nastavena další bezpečnostní opatření např. pro sledování citlivého obsahu, jeho kopírování, tisk či odesílání e-mailem.
Někteří bezpečnostní výzkumníci kritizují High-Tech Bridge za to, že Microsoftu dala na opravu chyby pouze 2 týdny. Není jasné, zda firma stihne vydat opravu v rámci květnové várky záplat.
Aktualizace: Microsoft nabízí zatím postup, jak celý problém obejít. Stačí spustit na příkazovém řádku několik příkazů, které změní seznam ACL (Seznam řízení přístupu). Administrátoři také mohou nastavit Internet Explorer tak, aby útokům cross-site scripting zabránil. K tomu je ovšem potřeba používat nejnovější MSIE 8 a upravit jeho výchozí nastavení - zapnout filtr proti útokům XSS i pro zónu Intranet. (Viz příslušný dokument Microsoft Security Advisory 983438)
Andrew Storms z firmy nCircle Network Security uvedl pro americký Computerworld, že riziko nějakého rozsáhlejšího zneužití této chyby je nízké.
Nejnovější SharePoint Server 2010 tímto způsobem zranitelný není.
PŘEDPLATNÉ
ČLÁNKY DO MAILU