una-al-dia (13/09/2003) Vulnerabilidad en validación de peticiones en ASP.NET de Microsoft

15/09/2003 - 23:00 por Waldín | Informe spam
-
Hispasec - una-al-día 13/09/2003
Todos los días una noticia de seguridad www.hispasec.com
-

Vulnerabilidad en validación de peticiones en ASP.NET de Microsoft


ASP.NET es una colección de tecnologías de Microsoft destinadas a
ayudar a los desarrolladores a construir aplicaciones web. Se ha
descubierto en ésta una vulnerabilidad que puede ser explotada
por usuarios maliciosos para esquivar el mecanismo de seguridad
"Request Validation".

Este mecanismo de validación de peticiones, nuevo en la versión 1.1
de ASP.NET, teóricamente sirve como protección a la hora de aceptar
valores de controles, de tal manera que puede servir como primer
bastión de defensa contra posibles ataques de tipo Cross-Site
Scripting o inyección de código SQL.

El problema consiste en que permite que se puedan introducir etiquetas
restringidas con un byte nulo. Esto es un problema debido a que
algunos navegadores (Internet Explorer, de la misma compañía sin ir
más lejos) ignora esos bytes nulos cuando está comprobando las
entradas, así que puede provocarse la ejecución del contenido de esas
entradas teóricamente restringidas.

Un ejemplo para comprobar el alcance del problema sería el siguiente:
<%00script>alert("¡Sorpresa!")</script>

Obviamente, esta es una prueba inocua, pero al igual que se puede
optar por mostrar un inocente mensaje en un dialogo, se puede
introducir un contenido más elaborado que nos permita comprometer la
seguridad del sitio web al que se está accediendo.

Si bien es buena idea la inclusión de mecanismos de seguridad como del
que se ha hablado aquí, a la vista de problemas como este, siempre es
recomendable realizar una comprobación interna más exaustiva de las
entradas que se van a utilizar las aplicaciones web.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/1784/comentar

Más información:

Microsoft ASP.NET Request Validation Null Byte Filter Bypass Vulnerability
http://www.securityfocus.com/bid/8562

Vulnerabilidad en el componente ASP.NET de Microsoft
http://www.hispasec.com/unaaldia/1320

Curso de seguridad .NET
http://www.hispasec.com/unaaldia/1591
http://www.hispasec.com/directorio/...ciones.NET


Julio Canto
jcanto@hispasec.com

Preguntas similare

Leer las respuestas

#1 Caterpillar 1.0
16/09/2003 - 03:44 | Informe spam
cada día toman mas protagonismo estas personas <<usuarios maliciosos >> ;-(

Saludos
Caterpillar 1.0
"Waldín" escribió en el mensaje
news:
-
Hispasec - una-al-día 13/09/2003
Todos los días una noticia de seguridad www.hispasec.com
-

Vulnerabilidad en validación de peticiones en ASP.NET de Microsoft


ASP.NET es una colección de tecnologías de Microsoft destinadas a
ayudar a los desarrolladores a construir aplicaciones web. Se ha
descubierto en ésta una vulnerabilidad que puede ser explotada
por usuarios maliciosos para esquivar el mecanismo de seguridad
"Request Validation".

Este mecanismo de validación de peticiones, nuevo en la versión 1.1
de ASP.NET, teóricamente sirve como protección a la hora de aceptar
valores de controles, de tal manera que puede servir como primer
bastión de defensa contra posibles ataques de tipo Cross-Site
Scripting o inyección de código SQL.

El problema consiste en que permite que se puedan introducir etiquetas
restringidas con un byte nulo. Esto es un problema debido a que
algunos navegadores (Internet Explorer, de la misma compañía sin ir
más lejos) ignora esos bytes nulos cuando está comprobando las
entradas, así que puede provocarse la ejecución del contenido de esas
entradas teóricamente restringidas.

Un ejemplo para comprobar el alcance del problema sería el siguiente:
<%00script>alert("¡Sorpresa!")</script>

Obviamente, esta es una prueba inocua, pero al igual que se puede
optar por mostrar un inocente mensaje en un dialogo, se puede
introducir un contenido más elaborado que nos permita comprometer la
seguridad del sitio web al que se está accediendo.

Si bien es buena idea la inclusión de mecanismos de seguridad como del
que se ha hablado aquí, a la vista de problemas como este, siempre es
recomendable realizar una comprobación interna más exaustiva de las
entradas que se van a utilizar las aplicaciones web.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/1784/comentar

Más información:

Microsoft ASP.NET Request Validation Null Byte Filter Bypass Vulnerability
http://www.securityfocus.com/bid/8562

Vulnerabilidad en el componente ASP.NET de Microsoft
http://www.hispasec.com/unaaldia/1320

Curso de seguridad .NET
http://www.hispasec.com/unaaldia/1591



http://www.hispasec.com/directorio/...licaciones
.NET


Julio Canto



Respuesta Responder a este mensaje
#2 Caterpillar 1.0
16/09/2003 - 03:44 | Informe spam
cada día toman mas protagonismo estas personas <<usuarios maliciosos >> ;-(

Saludos
Caterpillar 1.0
"Waldín" escribió en el mensaje
news:
-
Hispasec - una-al-día 13/09/2003
Todos los días una noticia de seguridad www.hispasec.com
-

Vulnerabilidad en validación de peticiones en ASP.NET de Microsoft


ASP.NET es una colección de tecnologías de Microsoft destinadas a
ayudar a los desarrolladores a construir aplicaciones web. Se ha
descubierto en ésta una vulnerabilidad que puede ser explotada
por usuarios maliciosos para esquivar el mecanismo de seguridad
"Request Validation".

Este mecanismo de validación de peticiones, nuevo en la versión 1.1
de ASP.NET, teóricamente sirve como protección a la hora de aceptar
valores de controles, de tal manera que puede servir como primer
bastión de defensa contra posibles ataques de tipo Cross-Site
Scripting o inyección de código SQL.

El problema consiste en que permite que se puedan introducir etiquetas
restringidas con un byte nulo. Esto es un problema debido a que
algunos navegadores (Internet Explorer, de la misma compañía sin ir
más lejos) ignora esos bytes nulos cuando está comprobando las
entradas, así que puede provocarse la ejecución del contenido de esas
entradas teóricamente restringidas.

Un ejemplo para comprobar el alcance del problema sería el siguiente:
<%00script>alert("¡Sorpresa!")</script>

Obviamente, esta es una prueba inocua, pero al igual que se puede
optar por mostrar un inocente mensaje en un dialogo, se puede
introducir un contenido más elaborado que nos permita comprometer la
seguridad del sitio web al que se está accediendo.

Si bien es buena idea la inclusión de mecanismos de seguridad como del
que se ha hablado aquí, a la vista de problemas como este, siempre es
recomendable realizar una comprobación interna más exaustiva de las
entradas que se van a utilizar las aplicaciones web.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/1784/comentar

Más información:

Microsoft ASP.NET Request Validation Null Byte Filter Bypass Vulnerability
http://www.securityfocus.com/bid/8562

Vulnerabilidad en el componente ASP.NET de Microsoft
http://www.hispasec.com/unaaldia/1320

Curso de seguridad .NET
http://www.hispasec.com/unaaldia/1591



http://www.hispasec.com/directorio/...licaciones
.NET


Julio Canto



email Siga el debate Respuesta Responder a este mensaje
Ads by Google
Help Hacer una preguntaRespuesta Tengo una respuesta
Search Busqueda sugerida