「未対策・未発表な多数の国内産脆弱」記事へのコメント

mozilla

[ruto (17678)]

MozillaではCSSで背景画像のURIにjavasriptを指定するタイプの脆弱性は使えないようです。

mozillaCSSにおけるjavascript起動

[stwo (9482)]

＞MozillaではCSSで背景画像のURIにjavasriptを指定するタイプの脆弱性は使えないようです。

朗報！と思いまして脊髄反射で手元で試験しました。最新版のFirefoxで検査しましたが、以下のことが判明しております。
formのinput要素のスタイル指定で背景画像のURIにjavascriptを指定すると作動いたしました。location.replace関数で見事にgoogle.comに飛んでいきました。

スラドのXSS対策が効いて全角がまざったりしますが検証したコードを書

--
| 慈愛こそ慈愛

Re:mozillaCSSにおけるjavascript起動

[ruto (17678)]

もう少し詳しく調べてみたところ Gecko DOM Reference [mozilla.org]にあるプロパティの内
document.location
document.close
document.open
window.location
window.closed
window.Components
window.document
window.frames
window.history.back
window.history.forward
window.history.go
window.parent
window.self
window.top
window.window
window.blur
window.close
window.escape
window.focus
window.unescape
にはアクセスでき、それ以外のプロパティや存在しないプロパティにアクセスしようとすると
Error: uncaught exception: Permission denied to get property Win

MozillaCSSからのcookie操作はやはり可能

[stwo (9482)]

なるほど、普通にcookieを操作しようとすると uncaught exception になるのですね。しかしながら以下のようなURLを背景画像に設定するとcookieをalertします。なお、ローカルでもTESTしやすいようにあらかじめcookieに値をSETしてからとしました。私はサーバ上では検証していません。

javascript:(function image(){document.cookie=location.href;alert(document.cookie)})()

要は、勝手に作った関数の中に放りこんでしまえば uncaught exception にはならないということです。これが意図した仕様かどうかは不明

--
| 慈愛こそ慈愛

Re:MozillaCSSからのcookie操作はやはり可能

[ruto (17678)]

うーん、これは凶悪ですね。
bugzillaだと
css background url allows execution of javascript and allows opening of other non-graphic URIs [mozilla.org]
が近いでしょうか。でもちょっと違いますね。