A vállalati és intézményi felhasználók körében gyakorta alkalmazott SharePoint 2007 megoldások egy olyan sebezhetőséget rejtenek, amely adatbiztonsági incidensek forrásául szolgálhat. A hibára valamivel több, mint két hete derült fény, amikor a High-Tech Bridge szakértői kimutatták azt az alkalmazásokban. Ezt követően, április 12-én értesítették a Microsoft fejlesztőit, akik azóta is vizsgálják, illetve javítják a sérülékenységet.
A SharePoint biztonsági résének befoltozása azonban nem sokáig haladhatott nyugodt keretek között, ugyanis a múlt hét végén kikerült az internetre az első olyan exploit kód, amely teljes mértékben alkalmas a sebezhetőség kihasználására. Emiatt a Microsoft fejlesztőire további nyomás nehezedik, hiszen most már minden érintett árgus szemekkel figyeli a javítás megjelenését. A cég a hibával kapcsolatos, első biztonsági tájékoztatóját április 29-én adta ki, de ebben igazi megoldást még nem kínált a sérülékenység orvosolására.
A SharePoint 2007 sebezhetősége XSS (cross-site scripting) alapú támadásokra adhat lehetőséget. Ezek során a támadóknak azt kell elérniük, hogy a felhasználó rákattintson egy speciálisan összeállított hivatkozásra. A High-Tech Bridge szakemberei szerint amennyiben a felhasználó ezt megteszi, akkor XSS révén adatok válnak kiszivárogtathatóvá az érintett rendszerekből, de a jogosulatlan adatmódosításnak is megvan az elvi lehetősége. Jeremiah Grossman, a WhiteHat Security műszaki igazgatója is hasonlóan vélekedett a sérülékenységről. Elmondta, hogy némi bennfentes ismeret birtokában könnyedén kihasználható a hiba, és a célkeresztbe állított felhasználói fiókon keresztül adatok juttathatók ki. Thierry Zoller, a Verizon Business biztonsági tanácsadója azonban arra világított rá, hogy amennyiben a támadóknak sikerül a sebezhetőség kihasználásával bizalmas adatokhoz, dokumentumokhoz hozzáférést szerezniük, akkor még mindig meg kell találniuk a módját, hogy azokat kijuttassák a vállalati hálózatok határain kívülre.
A Microsoft a biztonsági tájékoztatójában alapvetően három kockázatcsökkentő tényezőt említett meg. Egyrészt, hogy elektronikus leveleken keresztül nem okozhat problémát a sérülékenység, másrészt, hogy a SharePoint 2007 HttpOnly típusú authentikációs cookie-kat használ, amik az XSS alapú támadásokat megnehezíthetik, hiszen ebben az esetben a JavaScript-ekkel ügyeskedő támadók mozgástere némileg kötöttebb. Harmadik kockázatcsökkentési faktor, hogy az Internet Explorer 8-as verziója a beépített XSS Filter révén képes meggátolni a SharePoint sérülékenységére építkező támadásokat, azonban ezt csak akkor teszi meg, ha a webes alkalmazás az Internet biztonsági zónában fut.
A sebezhetőség kapcsán érintett alkalmazások:
Microsoft Office SharePoint Server 2007
Microsoft Windows SharePoint Services 3.0
A Microsoft hivatalosan még nem közölte, hogy a SharePoint biztonsági résének befoltozására mikor kerülhet sor, így nem lehet biztosan tudni, hogy a szükséges frissítések elkészülnek-e a május 11-én esedékes hibajavító keddre.
A cikk a Computerworld biztonság rovatában jelent meg.
