CVE-2011-4691 Google Chrome IFRAME装载信息泄露漏洞

CVE-2011-4691

Google Chrome IFRAME装载信息泄露漏洞




漏洞基本描述

URL：http://sebug.net/vuldb/ssvid-26080


发布时间：2011-12-14


漏洞版本：Google Chrome <= 15.0.874.121


漏洞描述：


Bugtraq ID: 51068


CVE ID：CVE-2011-4691


Google Chrome是一款流行的WEB浏览器。


Google Chrome 15.0.874.121及其之前的版本中存在漏洞，在IFRAME加载尝试过程中，没有正确防止在违反同源策略所需的时间里采集数据，远程攻击者构建包含恶意JavaScript代码的WEB页，诱使用户解析，可判断目标用户浏览器缓存中的文件。


<* 参考


http://lcamtuf.coredump.cx/cachetime/

http://sip.cs.princeton.edu/pub/webtiming.pdf


*>


测试方法：

http://lcamtuf.coredump.cx/cachetime/



总结


本漏洞是一个危害性不大的隐私泄漏漏洞。可能被别有用心的黑客用来统计用户的站点访问记录。根据我的理解这个漏洞也不是新爆发的，而是根据iframe的一些工作特性来进行触发，与浏览器的缓存机制有关系，这个漏洞IE也是有的。


由于触发这个漏洞没有涉及很深的技术上的原因（IE有同样的问题，可以见后面的分析），因此该漏洞的修补可能需要浏览器厂商在缓存上进行策略性的修改。


可以参考文档：http://sip.cs.princeton.edu/pub/webtiming.pdf



漏洞基本表现


正确触发漏洞后，可以用于搜集用户机器上是否访问过某些站点，用于数据统计，暂未发现是否能获取更多的用户信息。


譬如在测试机上运行漏洞触发脚本后，有如下提示：


绿色表示访问过某某站点，灰色的表示没有访问（其实我只访问过Google Plus，其他三个可能是GooglePlus访问过或者引导的一些广告页面）。





漏洞原理分析


注：原理主要基于对js脚本的分析。


1、首先在页面上面创建了一个空白的iframe，把src设置为about:blank，<iframe id=f name=f height=20 width=200 style="opacity: 0.1" src="about:blank"></iframe>。


2、在js脚本里面建有一个大表，里面是枚举的需要检查的站点信息。类似：






3、然后就是遍历这个表，对每个站点执行检测逻辑。


4、js代码里面给上面创建的iframe设置一个大表中的URL，然后迅速去获取iframe的属性location.href，这里看代码可能更清楚：

function navigate_to_target()


{

cycles = 0;

setTimeout(wait_for_noread, 1);

urls++;

document.getElementById("f").src = current_url;

}



function wait_for_noread()


{

try {

if (frames['f'].location.href == undefined) throw 1;

if (cycles++ >= TIME_LIMIT) {/*重试3次*/

maybe_test_next();

return;

}

setTimeout(wait_for_noread, 1);

} catch (e) {

confirmed_visited = true; /*这里置用户以前访问过标志*/

maybe_test_next();

}

}


注：注释由magictong添加。




设置1ms后执行wait_for_noread之后（setTimeout(wait_for_noread, 1);），然后把iframe的URL设置为当前正在检测的URL，1ms后，执行if (frames['f'].location.href == undefined) throw 1的时候，如果用户已经有了缓存，frames['f'].location.href的值应该会比较快的获取，然后直接抛一个异常，认为用户访问过这个站点（这里有个问题是如果iframe里的网页和当前页面的url域名不一样时，这个值为出现未定义的状态），实际上代码这个地方有一个3次的递归重试，三次之后如果location.href的值还没有获取到则认为用户没有访问过测试站点。


代码的写作者应该是判断过这个时间差，执行3次的时间大约是50ms，因此这个地方的判断不一定是绝对正确的。