Una vulnerabilità in Internet Explorer per sottrarre cookie

Durante l'evento Hack in the Box 2011 di Amsterdam Rosario Valotta, ricercatore italiano di sicurezza che cura questo blog, ha segnalato una falla che interessa tutte le versioni di Internet Explorer, IE9 compreso. La falla è stata denominata Cookiejacking e per essere sfruttata necessita di una serie di elementi ben definiti, oltre all'attuazione di un minimo di ingegneria sociale.

La vulnerabilità individuata permetterebbe a terzi di entrare in possesso dei cookie di un utente con la tecnica del clickjacking, tecnica che prevede il click su elementi dannosi da parte degli utenti. Oltre al semplice click su elementi che a una sommaria valutazione non sembrano pericolosi, è necessaria un'ulteriore azione da parte dell'utente che di fatto "consegna" i propri cookie a terzi ovviamente inconsapevolmente. Qui di seguito un breve video che mostra l'utilizzo malevolo della vulnerabilità.

Anche Softpedia.com si è occupata della notizia avendo accesso a maggiori informazioni. Per utilizzare la vulnerabilità scoperta da Valotta il codice malevolo deve utilizzare il navigator.userAgent object per determinare la versione di sistema operativo, oltre a individuare con altre tecniche il nome utente. Tutte queste informazioni sono necessarie per poi poter sfruttare le informazioni contenute nei cookie.

L'attacco si articola in due fasi distinte: in un primo momento il potenziale codice malevolo deve riuscire a mostrare il contenuto di uno specifico cookie in un layer non visibile dall'utente, e in questa fase il cookie non è ancora raggiungibile da malintenzionati perchè si trova in un IFrame. Il compito di trasferire il contenuto dall'IFrame a un'area della pagina web adibita a inviare dati all'attacker è lasciato all'utente in una seconda fase. Nel video riportato poco sopra si vede la realizzazione di un gioco nel quale un pallone da basket (specifico cookie) viene trascinato nel cesto (invio attacker).

Microsoft da parte sua promette la risoluzione del problema ma, stando alle dichiarazioni di Jerry Bryant di MSRC ( Microsoft Security Response Center) la società di Redmond non considera particolarmente problematica questa vulnerabilità proprio per l'elevato grado di interazione richiesta all'utente. Quanto evidenziato da Rosario Valotta porta ancora una volta in primo piano l'argomento del clickjacking, operazione malevola in costante crescita - in particolare sui social network - secondo le principali società di sicurezza.