Řada velkých serverů je zranitelná útokem cross-site scripting

Společnost ScanSafe zopakovala prognózu, podle níž většina malwaru pochází z legitimních stránek, které jsou však kompromitovány (Překvapení: většina malwaru přichází ze seriózních stránek). V květnu z legitimních stránek pocházelo 68 % zachyceného škodlivého kódu.
Bezpečnostní server XSSed současně upozornil na velké rozšíření chyb umožňujících cross-site scripting. Tyto zranitelnosti se týkají často i serverů, které kontrolní programy označí za dostatečně zabezpečené a dají jim příslušný certifikát.
Server XSSed dokonce uvedl, že zranitelnosti cross-site scripting objevil i na serverech prakticky všech významnějších bezpečnostních firem. XSSed tvrdí, že bezpečnostní firmy obecně tuto hrozbu krajně podceňují – v porovnání například se zranitelností, která umožňuje útočníkům přímou manipulaci s daty na serveru.
Zranitelnost cross-site scripting byla v posledních měsících zneužita např. k útokům proti službám PayPal (PayPal opravil chybu umožňující cross-site scripting), MySpace i on-line službám italských bank. Společnost ScanSafe dodává, že útočníci mají nástroje umožňující zneužívat zranitelností automaticky a v jeden okamžik přes chybu „kolonizovat“ celou řadu serverů. Naopak oprava tohoto typu chyby na celém serveru je poměrně náročná. Navíc bývá zpravidla nutné ji provést za běhu serveru, tj. neohrozit vlastní on-line podnikání firmy.

Zdroj: Computerworld.com