Openfire 3.10.2 跨站脚本漏洞

漏洞描述

Openfire 是实时的基于WEB的即时消息传输平台,是原来的Jive Messenger。

Openfire 3.10.2 版本在实现上存在一个跨站脚本漏洞,这个漏洞产生的原因是文件 /plugins/clientcontrol/create-bookmark.jsp 对参数 Group Chat Name 和 URL Name 没有进行严格的过滤,攻击者可构造如下 POST 请求包:

2.png

通过参数 Group Chat Name 和 URL Name 传递恶意的 xss 代码,实现跨站攻击。

成功利用该漏洞的攻击者可进行钓鱼攻击,获取用户敏感信息。

解决方案

    1、修改源码,严格过滤参数 fg[projectName] 中出现类似「<」、「>」、「'」等可能造成跨站攻击的特殊字符;

    2、目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:http://www.igniterealtime.org/projects/openfire/;

    3、如果购买了深信服下一代防火墙,请升级 WAF 特征库到 20150918 以上版本,可轻松防御针对该漏洞的攻击。