Invision Power Board ist ein Webforen-System, das auf PHP mit Anbindung an eine MySQL-, MS-SQL- oder Oracle-Datenbank basiert. Kürzlich ist eine Sicherheitslücke in dem Programm bekannt geworden, über die ein entfernter Angreifer Cross-Site-Scripting-Attacken durchführen kann.
Cross-Site-Scripting-Attacken sind sehr verbreitet und beruhen im Kern darauf, dass ein Angreifer eine Web-Applikation dazu bringt, von ihm gewünschte Befehle im Browser des Anwenders auszuführen. Ursache hierfür sind so gut wie immer Fehler beim Verarbeiten der Benutzereingaben, die nicht korrekt gefiltert werden.
Ein Angreifer kann dies je nach Applikation auf verschiedene Weise ausnutzen. Häufig kommen dabei präparierte URLs zur Verwendung, die den Schadcode enthalten. Klickt das Opfer darauf, wird es auf die Website der URL gelenkt, und auf dieser wird dann Skriptcode des Angreifers ausgeführt. Mit einer solchen Attacke lassen sich beispielsweise recht leicht Account-Daten von Benutzern sammeln. Im schlimmsten Fall tritt eine solche Schwachstelle auf den Seiten von Mailprovidern, Online-Shops oder Banken auf.
Die jetzt entdeckte Schwachstelle im Invision Power Board lässt sich ebenfalls über eine spezielle URL ausnutzen. Konkret sieht eine Exploit-URL folgendermaßen aus:
http://example.com/forums/index.php?showforum=53"><script>alert('Dies ist eine XSS-Attacke')</script>
Ruft das Opfer diese URL auf, so wird eine Javascript-Alertbox im Kontext von example.com im Browser des Opfers aufgerufen. Natürlich kann hier beliebig gefährlicher Skript-Code untergebracht werden. Die Attacke funktioniert allerdings nicht auf Servern mit Sub-Foren. Falls das Forum mit Friendly-URL-Style der Art
http://example.com/forum/index.php?/forum/2-example/
aufgesetzt ist, so ist die Attacke immer noch möglich, weil der Standard-URL-Zugriff in diesem Fall immer noch funktioniert. Der Exploit sähe dann genauso aus.
Da eine solche URL jedoch recht auffällig ist, kann der Angreifer sie beispielsweise mit Hilfe eines Abkürzungsdienstes wie etwa Tinyurl verstecken und eine solche verkürzte Exploit-URL an sein Opfer schicken.
Betroffen ist die Version 3.2.3. Eine kurze Google-Suche nach ‘”powered by” “Invision Power Board” 3.2.3’ spuckt zahlreiche angreifbare Foren aus, die durch das obige URL-Muster verwundbar sind.
