US-CERT เตือน ช่องโหว่ Cookie Injection, แนะนำเว็บเปิด HSTS

By: lew

on 25 September 2015 - 20:31 Tags:

Topics:

US CERT ออกประกาศแจ้งเตือนช่องโหว่เบราว์เซอร์ที่สามารถถูกยิงคุกกี้เข้าไปยังเว็บที่เข้ารหัสได้ และทำให้ผู้ใช้ถูกหลอกให้กรอกข้อมูลทั้งที่กำลังใช้งานอยู่ในเว็บเข้ารหัส

การยิงคุกกี้ (cookie injection) ทำได้เพราะนักพัฒนาเว็บสามารถกำหนดได้ว่าคุกกี้จะใช้งานเฉพาะ HTTPS ด้วยการต่อท้ายคุกกี้ด้วยข้อความ "secure" แต่การกำหนดนี้สามารถกำหนดขณะใช้งาน HTTP ที่ไม่เข้ารหัสก็ได้

แนวทางการโจมตี แฮกเกอร์จะต้องดักฟังการเชื่อมต่อที่ไม่เข้ารหัส และปลอมตัวเป็นเว็บโดเมนเดียวกัน ส่งข้อมูลเว็บแบบไม่เข้ารหัสไปยังเบราว์เซอร์เพื่อให้เบราว์เซอร์ตั้งค่าคุกกี้ในโดเมนที่เข้ารหัสแล้ว

การโจมตีที่เป็นไปได้ เช่น การขโมยข้อมูลค้นหา ด้วยการสมัครสมาชิกเว็บค้นหาเช่นกูเกิล แล้วยิงคุกกี้ให้เหยื่อล็อกอินด้วยบัญชีของแฮกเกอร์โดยไม่รู้ตัว แล้วมาดาวน์โหลดประวัติการค้นหาออกไปภายหลัง หรือการขโมยเงินด้วยการยิงให้บัญชีรับเงินฝากกลายเป็นบัญชีของแฮกเกอร์ไป

ทางแก้ไขในตอนนี้ต้องอาศัยเว็บให้รองรับ HSTS ที่บังคับให้เบราว์เซอร์ต้องเชื่อมต่อ HTTPS เสมอ

งานวิจัยนี้เสนอในงาน USENIX (PDF) ตั้งแต่เดือนที่แล้ว

ที่มา - US-CERT

Hiring! บริษัทที่น่าสนใจ

Bangmod Enterprise

The leader in Cloud Server and Hosting in Thailand.

United Information Highway Co., Ltd.

UIH is Thailand’s leading Digital Infrastructure and Solution Provider for Business

KBTG - KASIKORN Business-Technology Group

KBTG - "The Technology Company for Digital Business Innovation"

Comments

By: Hadakung

on 25 September 2015 - 20:49 #846602

ในภาพคือ IE ไม่ได้รับผลกระทบนี้หรือครับ

By: Blacxloaf

on 26 September 2015 - 16:53 #846752 Reply to:846602

ถ้าจริงนี่กลับไปซบ IE เลยนะนั่น

By: hisoft

on 26 September 2015 - 20:05 #846783 Reply to:846602

Vulnerabilities in Handing Proxy Response. In [6], Chen et al. found a number of ﬂaws in major browsers. The root problem resided in the handling of HTTPS responses. Essentially, all browsers at that time could not differentiate an HTTPS response from a proxy and an HTTPS response from the intended server. The ﬂaws were patched after disclosure. However, we found the patches are incomplete: if a proxy replies to a HTTPS CONNECT request with an unencrypted 407 (proxy authentication required) response, all major browsers except IE accept the cookies set in 407 response. While some vulnerable browsers display a pop-up window, some accept cookies silently (Table 5).

Main menu