Continuando con el desfile se presentan los archivos
...
ARCHIVOS .SVG
Los archivos ".svg"
(Scalable Vector Graphics o Gráficos Vectoriales Redimensionables) son archivos
que contienen un código XML para expresar un gráfico vectorial.
El problema radica en que estos
archivos son capaces de contener código javascript, por lo que son archivos
susceptibles de utilizarse para hacer el mal.
Toda ejecución, en principio,
tendrá lugar dentro de la Sandbox del navegador, por lo que no
"deberían" escapar de este, pero nunca se sabe.
PoC
Para probar lo anteriormente
comentado, se crea el archivo: PoC-SVG.svg, con el código:
Contenido del archivo:
PoC-SVG.svg
NOTA: En las pruebas que se han realizado ha sido fundamental no
quitar la siguiente cadena: "xmlns="http://www.w3.org/2000/svg"
xmlns:xlink="http://www.w3.org/1999/xlink". Sin ella, el
archivo ".svg" no es comprensible y por lo tanto, no obtendríamos los
efectos deseados.
Tras el consiguiente doble
click, se abre el Internet Explorer obtenido los siguientes resultados:
Gráfico SVG
presentado y solicitud para permitir la ejecución del código javascript
Presentación de la orden: alert('Hola Mundo! :}'
Redirección de
la web de San Google.
Lo que hagas con la información
es cosa tuya, no mía ... pero ten conciencia.
Más información:
http://unaaldia.hispasec.com/2017/02/creias-que-las-imagenes-eran.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+hispasec%2FzCAd+%28%40unaaldia%29
https://es.wikipedia.org/wiki/Scalable_Vector_Graphics
https://www.w3.org/TR/SVG11/intro.html
No hay comentarios:
Publicar un comentario