Black Hat: цифровые подписи XML не спасают от хакеров

  Системы проверки целостности XML-данных на базе цифровых подписей (XMLDSIG) могут стать вектором атаки удалённого выполнения произвольного кода, заявил Брэд Хилл (Brad Hill) из iSec на конференции Black Hat 2007.

  Синтаксис сертификатов XMLDSIG отличается от ASN.1 для X.509 – с его помощью легче обрабатывать и связывать контент. В определённых случаях листы стилей преобразования Extensible Stylesheet Language Transform (XSLT), покрытые цифровой подписью, могут стать причиной выполнения внедрённого вредоносного кода при считывании неаккуратно написанными парсерами. Внедрение может, в частности, происходить через контейнеры XMLDSIG – KeyInfo и SignedInfo.

  В июле Хилл опубликовал результаты успешных атак с их использованием для внедрения кода через Sun Java System Portal Server Software 7.0 для Sparc, Linux и x86. Sun уже выпустила обновление к уязвимой версии. Также Хилл нашёл уязвимость в XML Security Tookit (XSECT) до версии 1.10 включительно от Института прикладной обработки информации и связи (IAIPC), который выпустил обновления в марте. Уязвимы ли другие приложения, пока неизвестно.