［WEB SECURITY］Universal XSS with PDF files: highly dangerous

セキュリティ

(bunさんとこから）

Acrobat ReaderとFireFox2.0系でXSSが発生してしまう脆弱性があるそうです。

手法は単純、xxx.pdf#test=javascript:xxxxx

これなら、政府系なサイトでもXSS出来ちゃいますｗ

サイト上にPDFがある場合、
http://path/to/pdf/file.pdf#whatever_name_you_want=javascript:your_code_here
とアクセスすることで、スクリプトが実行されてしまうという問題。
Firefox 2.0 + Acrobat 7.0 で再現を確認。

Bunさんところで、自分のところが加害サイト（？）にならないための設定を公開されています。

<Files "*.pdf">
Header set Content-Disposition: attachment
ForceType application/octet-stream
</Files>

Snort Ruleが出ています

http://www.bleedingthreats.net/index.php/2007/01/05/adobe-acrobat-exploit-sigs-posted/

alert tcp $EXTERNAL_NET $HTTP_PORTS -> $HOME_NET any (msg:”BLEEDING-EDGE Exploit Adobe Acrobat Open Parameter Javascript Attempt (URL Inbound)”; flow:established,from_server; content:”.pdf#”; nocase; pcre:”/.pdf#(.+=)javascript\:/im”; nocase; classtype:attempted-admin; sid:2003246; rev:2;)

alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:”BLEEDING-EDGE Exploit Adobe Acrobat Open Parameter Javascript Client Request”; flow:established,to_server; uricontent:”.pdf#”; nocase; pcre:”/.pdf#(.+=)javascript\:/iU”; nocase; classtype:attempted-admin; sid:2003247; rev:2;)

関連URL