Google修正跨站点脚本缺陷 可接收恶意代码

Google修正跨站点脚本缺陷 可接收恶意代码 　CNET科技资讯网12月22日国际报道 美国当地时间本周三，安全研究人员表示，Google已经修正了一个可能使用户受到钓鱼式安全、帐户挟持以及其它形式安全的缺陷。

　　据发现该问题的互联网安全厂商Watchfire 称，这一跨站点脚本缺陷存在的原因是，Google没有恰当地保证二种错误页面的安全。

　　Watchfire 的安全研究主任Ory Segal 称，安全者可以利用该缺陷发动钓鱼式安全或窃取用户的数字证书。

　　他说，在研究Google的网站时，我们发现它在Web 应用软件的安全性方面做得很好，但它可能忽略了这一不太常见的跨站点脚本缺陷。

　　Google证实不久前它修正了该缺陷。该公司的代表在一份电子邮件声明中说，没有用户资料泄露出去，我们对Watchfire 遵守业界的缺陷披露规则表示赞赏。

　　据Watchfire 称，这一问题存在于Google用来生成禁止重定向和访问Google网站上不存在页的错误页面的机制中。安全可以使用UTF-7 来利用这一缺陷。

　　Segal 表示，在安全中，用户需要点击一个恶意链接，或访问一个经过特别设计的恶意网页。然后就会在浏览器中看到Google错误网页，并同时接收到在恶意链接中嵌入的恶意JavaScript代码。由于这些代码来自Google，因此它能够访问Google cookies等数据。

　　据Watchfire 称，Google是在11月15日得知这一缺陷的，并在12月1 日修正了该缺陷。Watchfire 在其公告中对Google在这一问题上的合作和沟通表示了赞扬。

　　跨站点脚本缺陷相当常见。今年早些时候，Finjan在Google和微软的Xbox 360网站上发现了类似的缺陷。雅虎基于Web 的电子邮件服务中也被发现存在这样的缺陷。

　　今年早些时候，Google的电子邮件服务中被发现存在一个安全缺陷，它使得安全能够挟持用户的电子邮箱。