XSS Exploit gevonden op de Apple iTunes-site ... opnieuw

Update: Apple heeft de exploit verholpen, de onderstaande link is bewaard voor het nageslacht maar werkt niet langer om iets abnormaals weer te geven.

Een paar weken geleden was er een actieve XSS Exploit op Apple.com met hun iTunes-site. Welnu, een tipgever stuurde ons exact dezelfde cross-site scripting-exploit opnieuw op de Apple iTunes-site (VK in dit geval). Dientengevolge zijn er enkele nogal grappige variaties op de Apple iTunes-pagina te zien, en opnieuw enkele zeer angstaanjagende, aangezien de bovenstaande screenshot een inlogpagina toont die gebruikersnaam en wachtwoordinformatie bevat, deze inloggegevens opslaat op een buitenlandse server en vervolgens verzendt je terug naar Apple.com. De meest irritante variant die naar ons werd gestuurd, probeerde om ongeveer 100 cookies op mijn machine te zetten, zette een eindeloze lus van javascript-pop-ups op met Flash-bestanden die in elk ervan waren ingesloten, en iframed ongeveer 20 andere iframes, en dat terwijl het hele vreselijke muziek speelde.

Hier is een relatief onschuldige variant van de XSS-geschikte URL, dit is iframes Google.com:

http://www.apple.com/uk/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www.google.com/%20width= 600% 20height = 200% 3E% 3C / iframe% 3E & thumbnailUrl = http% 3A // images.apple.com / home / images / promo_mac_ads_20091022.jpg & itmsUrl = http% 3A% 2F% 2Fitunes.apple.com% 2FWebObjects% 2FMZStore.woa % 2Fwa% 2FviewAlbum% 3Fid% 3D330407877% -26% 3D143444% 26ign-mscache% 3D1 & ALBUMNAME = a% 20wide open% 20HTML% 20injection% 20hole

Het kost niet veel moeite om je eigen versie te maken. Laten we in elk geval hopen dat Apple dit snel oplost.

Bijgevoegd zijn een paar meer screenshots van links verzonden door tipster "WhaleNinja" (geweldige naam trouwens)