XSS Exploit auf Apple iTunes-Website gefunden… wieder

Aktualisieren: Apple hat den Exploit behoben. Der folgende Link bleibt für die Nachwelt erhalten, funktioniert jedoch nicht mehr, um ungewöhnliche Ereignisse anzuzeigen.

Vor einigen Wochen gab es auf Apple.com einen aktiven XSS Exploit mit ihrer iTunes-Site. Nun, ein Tippgeber hat uns genau den gleichen Cross-Site-Scripting-Exploit geschickt, der erneut auf der Apple iTunes-Site (in diesem Fall in Großbritannien) gefunden wurde. Infolgedessen werden einige ziemlich amüsante Variationen der Apple iTunes-Seite angezeigt, und wieder einige sehr beängstigende, da der obige Screenshot eine Anmeldeseite zeigt, die Benutzernamen- und Kennwortinformationen akzeptiert, diese Anmeldedaten auf einem fremden Server speichert und dann sendet Sie zurück zu Apple.com. Die nervigste Variante, die uns zugesandt wurde, hat versucht, ungefähr 100 Cookies auf meinen Computer zu kopieren, eine endlose Schleife von Javascript-Popups mit darin eingebetteten Flash-Dateien initiiert und ungefähr 20 andere Iframes gerahmt, während sie wirklich schreckliche Musik abgespielt haben.

Hier ist eine relativ harmlose Variante der XSS-fähigen URL, die Google.com enthält:

http://www.apple.com/de/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www.google.com/%20width= 600% 20 Höhe = 200% 3E% 3C / iframe% 3E & thumbnailUrl = http% 3A // images.apple.com / home / images / promo_mac_ads_20091022.jpg & itmsUrl = http% 3A% 2F% 2Fitunes.apple.com% 2FWebObjects% 2FMZSt % 2Fwa% 2FviewAlbum% 3Fid% 3D330407877% 26s% 3D143444% 26ign-mscache% 3D1 & albumName = a% 20weit offen% 20HTML% 20injection% 20hole

Es ist nicht sehr aufwendig, eine eigene Version zu erstellen. Hoffen wir, dass Apple dies schnell behebt.

Im Anhang finden Sie einige weitere Screenshots von Links, die vom Tippgeber „WhaleNinja“ gesendet wurden (übrigens ein großartiger Name).