Администрация eBay не намерена устранять серьезную уязвимость в платформе
Уязвимость позволяет обойти механизм проверки кода и выполнить вредоносный JavaScript-код.
Исследователи из Check Point обнаружили серьезную уязвимость в online-платформе eBay. Ошибка позволяет обойти фильтры eBay, отвечающие за проверку кода. Злоумышленник может открыть на eBay якобы легитимную страницу и добавить в поле описания товара вредоносный JavaScript-код.
В декабре прошлого года сотрудник Check Point Роман Заикин уведомил представителей eBay о проблеме, однако администрация платформы не намерена устранять уязвимость.
Для обхода фильтров используется техника «JSF**k», созданная разработчиком Мартином Клеппе (Martin Kleppe). Метод использует код, состоящий из всего из шести символов: [ ] ( ) ! +. Данная техника позволяет беспрепятственно внедрить вредоносный код в поле описания продукта на eBay. Системы защиты платформы запрещают использование плавающих фреймов iFrame или HTML-тегов на странице. Однако с помощью «JSF**k» злоумышленник может создать код, загружающий дополнительный JS-сценарий с подконтрольного атакующему сервера.
Посетив подложную страницу, пользователь может стать жертвой хищения данных или фишинговой кампании. К примеру, на инфицированной eBay-странице посетителям предлагают скачать мобильное приложение по специальной одноразовой скидке. При подтверждении скачивания на устройство жертвы загрузится вредоносное ПО.
Помимо описания проблемы, исследователи опубликовали два PoC-видео.
Ваша приватность умирает красиво, но мы можем спасти её.