El miércoles 28 de abril, se puso en conocimiento a través de Chema Alonso, un error de vulnerabilidad de las plataformas Microsoft Office SharePoint Server 2007 (MOSS) y Windows SharePoint Services 3.0. El origen de este fallo radica en un ataque XSS sobre la página que ejecuta la ayuda (help.aspx) de las plataformas citadas con anterioridad.
La solución a este inconveniente afortunadamente se erradica de forma sencilla y rápida. Lo primero es localizar el archivo help.aspx, que se encuentra en la siguiente ruta Program FilesCommon FilesMicrosoft SharedWeb Server Extensions12TEMPLATELAYOUTS. Una vez localizado lo abrimos con un editor de texto y eliminaremos el Form incluido dentro de la etiqueta <body> . Remplazamos dicho elemento por un mensaje amigable como “En este momento la ayuda por motivos de seguridad, disculpen las molestias” o el que tu creas más conveniente. A continuación podéis ver el resultado final de help.aspx:
- <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"
- "http://www.w3.org/TR/html4/strict.dtd">
- <html runat="server"
- dir="<%$Resources:wss,multipages_direction_dir_value%>"
- >
- <%@ Assembly Name="Microsoft.SharePoint.ApplicationPages" %> <%@ Page Language="C#" Inherits="Microsoft.SharePoint.ApplicationPages.HelpPage"%>
- <%@ Register Tagprefix="SharePoint" Namespace="Microsoft.SharePoint.WebControls" Assembly="Microsoft.SharePoint, Version=12.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" %> <%@ Register Tagprefix="Utilities" Namespace="Microsoft.SharePoint.Utilities" Assembly="Microsoft.SharePoint, Version=12.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" %> <%@ Import Namespace="Microsoft.SharePoint" %>
- <head>
- <META HTTP-EQUIV="expires" CONTENT="0" />
- <link rel="stylesheet" type="text/css" href="/_layouts/<%= UiLcid.ToString(System.Globalization.CultureInfo.InvariantCulture) %>/styles/help.css"/>
- <title><%# Microsoft.SharePoint.Utilities.SPHttpUtility.HtmlEncode(PageTitle) %></title>
- </head>
- <SharePoint:ScriptLink language="javascript" name="core.js" runat="server" />
- <body class="<%# GetCssClassName("body") %>">
- Se ha deshabilitado la ayuda por motivos de seguridad, disculpen las molestias.
- </body>
- </html>
Hasta que en próximos días Microsoft ponga a disposición de todos los usuarios un parche para solucionar este bug deberemos de utilizar este método que aunque no es el más ortodoxo si es el más eficaz.
Buenas Raúl,
Curioso, se me ocurre otra forma de evitar estos ataques de XSS. Crear un httpModule que monitorice los accesos a help.aspx y que te mande a la «…» si no estás autenticado.
JC’s
Saludos Juan Carlos!!
Agradecerte que nos ofrezcas una solución más sofisticada al bug que he comentado en el artículo.
Muchas gracias!!Un saludo!!