Google czy Microsoft?

Google załatało lukę w usłudze Google Docs, która pozwalała atakującemu przejąć sesje dowolnej usługi amerykańskiego giganta internetowego – eksperci ds. bezpieczeństwa twierdzą jednak, że prawdziwe zagrożenie związane było nie z technologią Google’a, lecz przeglądarką Internet Explorer Microsoftu.

Specjalista ds. bezpieczeństwa, Bill Rios, odkrył możliwość przeprowadzenia ataku typu cross-site scripting (XSS) na usługę Google Spreadsheet. W jego wyniku atakujący mógł korzystać ze wszystkich usług Google’a określonego użytkownika - od Docs aż po Gmaila.

Google poprawiło błąd jeszcze zanim ten został upubliczniony – zapewnił rzecznik prasowy firmy.

Mimo że atak wykorzystywał lukę w usłudze Google’a, zajmujący się bezpieczeństwem eksperci utrzymują, iż za atak odpowiedzialni są również producenci przeglądarek internetowych.

“Oba systemy po części są winne. Trzeba zaznaczyć, że niebezpieczna była już możliwość wprowadzenia kodu HTML (zawierającego JavaScript) do komórki arkusza kalkulacyjnego w przeglądarce internetowej” – uważa Nishad Herath z firmy McAfee.

Blake Frantz z Leviathan Security przeanalizował metody renderowania plików przez Firefoksa, Safari, Internet Explorera i Operę. Z opublikowanego przez niego raporcie „Flirting with MIME types” wynika, iż wszystkie przeglądarki niewłaściwie renderowały pliki jako HTML. Wśród wszystkich „browserów” niechlubny prym wiódł Internet Explorer.

źródło: www.zdnet.com.au