تم الكشف مؤخراً عن ثغرة أمنية للحقن في لغة الترميز القابلة للتوسيع (XML) في متصفح مايكروسوفت انترنت اكسبلورر من قِبل الباحث الأمني "جون بيج"، وبحسب ما ورد يمكن للمهاجم استغلال هذه الثغرة الأمنية لسرقة المعلومات السرية أو إخراج الملفات المحلية من جهاز الضحية، تم إختبار الثغرة الأمنية في أحدث إصدار من انترنت اكسبلورر11 مع تصحيحات حالية على أنظمة التشغيل Windows 7 و 10 و Windows Server 2012 R2، وتم النظر في سلسلة هجماته لفهم كيفية عمل الخلل الأمني بشكل أفضل وكيف يمكن تخفيفه.
يعمل حقن XXE من خلال استغلال محلل XML مع مرجع كيان XML خارجي مقيد بشكل غير صحيح ( CWE-611 ) ، والذي يستخدم للوصول إلى محتوى غير مصرح به، يستغل حقن XXE أيضًا تعريف نوع المستند غير الصحيح ( CWE-827 ) المستخدم لتحديد أنواع المستندات للغات الترميزية مثل XML، على سبيل المثال ، يمكن للمهاجم استخدام ملف XML ضار مع مرجع كيان خارجي يسيء إلى بروتوكول 'file: //' للوصول إلى الملفات المحلية ، أو "http: //" للوصول إلى الملفات على خوادم الويب.
في حالة الثغرة الأمنية التي أبلغ عنها، يتم تشغيل ثغرة الأمان عند فتح ملف أرشيف MIME HTML خاص بصنع الويب ويتفاعل المستخدم مع المستعرض، مع إجراءات مثل فتح علامة تبويب جديدة في المتصفح (Ctrl + K) أو طباعة ملف (Ctrl + P). ومع ذلك ، يمكن محاكاة تفاعل المستخدم بواسطة وظائف JavaScript مثل window.print . بمجرد أن يفتح المستخدم ملف خبيث بإمتداد mht. ، سيكون الهاكر قادرًا على اختبار الملفات من نظام المستخدم. و لإستغلال هذا الخلل بنجاح يجب الإعتماد على الهندسة الاجتماعية، على سبيل المثال يتعين على الهاكر إقناع المستخدم لتنزيل ملف .mht ضار وتشغيل الإعدادات المحلية يدويًا.
تأثير الضعف :
يمكن للمهاجم الذي يستغل الثغرة بنجاح أن يصل للملفات الحساسة على نظام المستخدم، يمكن أن يوفر الاستغلال الناجح أيضًا معلومات استطلاع يمكن استخدامها لتنفيذ المزيد من الهجمات أو إطلاق المزيد من الحمولات، على سبيل المثال يمكنه الكشف عن التطبيقات المثبتة للعميل، وتكوين الشبكة والامتيازات، وتفاصيل أنظمة الحماية، يمكن للمهاجم بعد ذلك استخدام المعلومات التي تم الحصول عليها للحصول على نقطة وصول في شبكة النظام المتأثر.
في حين أن هجمات XXE ليست جديدة ، إلا أنها تشكل مخاطر أمنية كبيرة، ويتم تصنيف هجمات XXE ضمن أهم مخاطر الأمان التي يتعرض لها مشروع Open Web Application Security Project (OWASP) للتطبيقات والميزات في البرامج أو الأدوات المستعملة بكثرة. ويُعد أيضًا إساءة استخدام ملفات .mht بمثابة ناقل للهجمات، حيث يُعرف أيضًا أنه يتم إستغلالها لسرقة المعلومات.
من أجل استغلال الثغرة يجب وضع ملف XML ضار في خادم بروتوكول نقل النص التشعبي (HTTP). يجب أن يشير ملف XML هذا إلى الملفات المحددة التي تحتاج إلى اختبار من نظام المستخدم في علامة ENTITY ، والتي تمثل طلبًا أو استجابة في رسائل HTTP بدوره يجب الإشارة إلى الملف المقابل ككيان خارجي في ملف MHTML الضار ، والذي يمكن للمستخدمين تنفيذه يدويًا على أجهزتهم.
يجب على الهاكر إقناع المستخدم بتنزيل ملف MHTML الضار من خلال موجهات الهجوم الخارجي، مثل مرفق بريد إلكتروني عشوائي أو التصيد الاحتيالي، يجب على عميل البريد الإلكتروني بعد ذلك فتح الملف الضار باستخدام انترنت إكسبلورر، مع العلم أن انترنت إكسبلورر هو التطبيق الافتراضي المستخدم لفتح ملفات MHTML على جميع إصدارات Windows وبالتالي لا يحتاج المستخدم إلى تحديد التطبيق، سيرسل عميل انترنت إكسبلورر طلب GET إلى خادم المهاجم لاسترداد ملف XML الضار بمجرد فتح ملف MHTML الضار.
يحتوي ملف XML الضار على تفاصيل الملفات المحددة للتسريب، إلى جانب معرف المورد الموحد (URI) للخادم الذي يتحكم فيه المهاجم، يتم إرسال محتويات الملفات التي أشار إليها المهاجم في XML الخبيث مرة أخرى إلى خادم المهاجم وفقًا لمسار URI المذكور في نفس ملف XML. سيتم عرض هذا في نهاية الهجوم.
حتى كتابة هذه السطور لم تصدر Microsoft إصلاحًا لهذه الثغرة الأمنية، لذلك يجب على المستخدمين توخي الحذر عند فتح أي ملف من مصادر غير معروفة، إن استغلال الثغرة بنجاح ينطوي على إغراء المستخدمين بفتح ملفات ضارة، تجنب النقر على الروابط المجهولة على البريد الإلكتروني أو روابط تنزيل الملفات وفتحها من مصادر غير موثوقة، تأكد من أن نظام التشغيل والتطبيقات بأخر تحديثات الأمان.
إرسال تعليق