據悉,日前Metasploit專案小組發布了名為Google查找設備代理樣式表漏洞的1項安全公告。這個公告稱當前Google商用查找設備針對不同客戶需求,會提供透過XSLT(eXtensible Stylesheet Language Transformations;可延伸樣式表語言轉換機制)樣式表查找引擎界面的客制化服務,其中的某些版本設備,還提供了藉由URL列遠端進入XSLT樣式表內編輯的功能;但是,這個功能卻可能引發跨站描述語言(XSS)攻擊、檔案發掘、服務列舉(Service Enumeration)與隨意Java程序碼執行等濫用問題。
Google Mini與 Search Appliance查找設備,是Google針對中小企業與大型企業實施客制化服務,跨入商用查找市場的利器,現在卻傳出了具有安全漏洞的問題,雖然Google目前已向使用客戶發布提供了安全更新程序;但對于Google跨入競爭激烈的企業資料探勘市場,或多或少都會造成一定的不良影響。
![Google: Google查找設備存在XSS等安全漏洞!(圖)](http://big5.thethirdmedia.com/g2b.aspx/www.thethirdmedia.com/null.gif)
圖示:Metasploit專案小組發現,Google商用查找設備中存在XSS、服務列舉與遠端任意程序碼執行等安全漏洞。
目前,Google商用查找設備中存在的XSS、服務列舉與遠端任意程序碼執行等安全漏洞,已確定存在于適用中小企業的Google Mini設備中,至于大型企業專用的Google Search Appliance,則不排除也有被攻擊的風險。(第三媒體 2005-12-12)