Update: Apple hat den Exploit behoben, der folgende Link bleibt für die Nachwelt erh alten, funktioniert aber nicht mehr, um etwas Ungewöhnliches anzuzeigen.

Vor ein paar Wochen gab es einen aktiven XSS-Exploit auf Apple.com mit ihrer iTunes-Site. Nun, ein Tippgeber schickte uns genau denselben Cross-Site-Scripting-Exploit, der erneut auf der Apple iTunes-Site (in diesem Fall Großbritannien) gefunden wurde.Infolgedessen erscheinen einige ziemlich amüsante Variationen der Apple iTunes-Seite, und wieder einige sehr beängstigende, da der obige Screenshot eine Anmeldeseite zeigt, die Benutzernamen- und Passwortinformationen akzeptiert, diese Anmeldedaten auf einem fremden Server speichert und dann sendet Sie zurück zu Apple.com. Die nervigste Variante, die uns geschickt wurde, versuchte ungefähr 100 Cookies auf meinen Rechner zu stopfen, initiierte eine Endlosschleife von Javascript-Popups mit eingebetteten Flash-Dateien und erstellte etwa 20 andere Iframes, während sie wirklich schreckliche Musik spielte.

Hier ist eine relativ harmlose Variante der XSS-fähigen URL, sie iframes Google.com:

http://www.apple.com/uk/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www .google.com/%20width=600%20>

Es braucht nicht viel Mühe, eine eigene Version zu erstellen. Hoffen wir jedenfalls, dass Apple das schnell behebt.

Anbei noch ein paar Screenshots von Links, die vom Tippgeber „WhaleNinja“ (übrigens ein toller Name) eingeschickt wurden