HTMLパーサの挙動の違いに起因するXSS

gistfile1.md

HTMLパーサの挙動の違いに起因するXSS

自己紹介

• http://ma.la
• LINE
• livedoor, NAVER

概要

• 解釈にブレが生じるHTMLを使ったXSS
• 特にWYSIWYGエディタ上で起きるものが多い

きっかけ

• HTMLメールでのscript実行について発見、修正についてアドバイス
• 自社、他社サービス
• Sparrow, Mailbox, NAVERメール

Mailbox

• Dropboxに買収されたメールサービス
• HTMLメールでscript実行される問題が報告された
• サーバーサイドでのフィルタで対応 → 抜け道がないか調査

コメントタグを使ったXSS

• HTMLコメント 通常は
• これは？ -->

HTML spec

• は未知のタグである。

ブラウザの解釈

<unknowntag> <script>..</script> —>

多くのHTMLパーサの解釈

• で突破可能だった → 2013 10/2報告済み $500

ほかにも未修正いくつか

• XSSもしくはself-XSS
• HTMLソース編集があるサービスに多い

ブラウザのHTMLパーサを使う

• jsでHTMLパーサを再発明するのは避けたい
• createHTMLDocumentを使うとブラウザと挙動が一致する
• これは使える!!

Opera12

• Opera12のcreateHTMLDocumentはバグがある
• 死んでるDOMノードを作るはずなのに、scriptが評価されてしまう

まとめ

• 実際のブラウザのHTMLパーサと、jsやサーバーサイドの言語で書かれたHTMLパーサで挙動の違いがある
• 解釈にブレがあるHTMLを出力すると予測しない問題を引き起こすことがありうる
• ホワイトリストでの制限 + 整形式のvalidなHTMLを出力しましょう