Código JavaScript quebra segurança de firewall

Will Knight - New Scientist - 02/08/2006

Acaba de ser descoberto um método de invadir uma rede de computadores apenas colocando-se o código mal-intencionado em uma página da Internet.

Quando uma pessoa navega pela web, seu computador normalmente é protegido dos ataques por um "firewall", um programa que filtra mensagens suspeitas. Mas pesquisadores da empresa SPI Dynamics, Estados Unidos, descobriram que determinado código em JavaScript, embutido em uma página da web, pode passar pelo firewall. JavaScript é uma linguagem de programação simples, que roda no navegador, largamente utilizada para tornar as páginas mais interativas.

Quando um usuário visita uma página assim, o código é capaz de sondar automaticamente a rede local à qual a máquina do usuário está conectada. Uma vez tendo identificado os computadores e outros equipamentos na rede, o mesmo método pode ser usado para enviar comandos para travá-los ou controlá-los.

O código JavaScript mal-intencionado pode, em teoria, até mesmo ser incorporado em um site de terceiros, por exemplo, em uma mensagem de um fórum de discussões. Esta técnica, conhecida como "cross-site scripting", pode vitimar usuários visitando sites confiáveis. A técnica até agora vinha sendo tratada como sendo de baixo nível de risco.

Prova de conceito

"Esse ataque JavaScript potencialmente devastador, juntamente com a crescente exploração do 'cross-site scripting', demonstra que essas vulnerabilidades não devem mais ficar na fila esperando para serem estudadas," diz Billy Hoffman, engenheiro da SPI Dynamics.

Os pesquisadores da empresa construíram uma página que oferece uma "prova do conceito", uma demonstração da técnica. Esta página pode ser utilizada para rastrear uma rede local por servidores de Internet rodando nas máquinas a ela conectadas. O site permite que os visitantes vejam os endereços dos computadores rodando servidores de Internet, mas não tenta executar nenhuma tarefa maliciosa.

Fyodor Vaskovich, um respeitado especialista em segurança e criador da ferramenta de mapeamento NMAP, disse que a técnica coloca um dilema para os desenvolvedores de páginas para a Internet. Isto porque o bloqueio de importantes funcionalidades JavaScript ao nível do navegador poderá também desabilitar muitos sites normais.