Actu
Vigil@nce : IE, Firefox, Opera, SeaMonkey, ClickJacking
octobre 2008 par vig
SYNTHÈSE
Un attaquant peut employer un cadre IFRAME afin de forcer la
victime a effectuer une opération non désirée.
Gravité : 2/4
Conséquences : accès/droits utilisateur
Provenance : serveur internet
Moyen d’attaque : 1 démonstrateur
Compétence de l’attaquant : spécialiste (3/4)
Confiance : sources multiples (3/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 30/09/2008
PRODUITS CONCERNÉS
– Microsoft Internet Explorer
– Mozilla Firefox
– Mozilla SeaMonkey
– Opera
DESCRIPTION
L’élément IFRAME du langage HTML permet d’inclure une page à
l’intérieur du document courant.
Une attaque, nommée ClickJacking, a été annoncée concernant les
IFRAMEs :
– On suppose que la victime a récemment visité le site
http://site1/, et possède un cookie d’authentification encore
actif.
– L’attaquant crée le site http://site2/ dont la page HTML
contient un IFRAME vers http://site1/. Cette page web utilise
des CSS (DHTML) pour placer des objets devant l’IFRAME de
site1, afin d’usurper son contenu, mais sans masquer ses
boutons/liens. La majorité des informations affichées provient
donc de site2, alors que les boutons/liens qui sont ceux de
site1.
– L’attaquant invite la victime à visiter site2.
– La victime pense consulter uniquement le site2. Cependant, si
la victime clique sur les boutons/liens, les actions sont
menées sur site1. Si le site1 est l’interface web
d’administration d’un firewall, ces boutons/liens peuvent par
exemple ajouter des règles permissives.
D’autres variantes d’attaque sont possibles, notamment avec les
logiciels Adobe.
Un attaquant peut donc employer un cadre IFRAME afin de forcer la
victime à effectuer une opération non désirée sur un site web de
confiance.
CARACTÉRISTIQUES
Références : VIGILANCE-VUL-8136
