Buscando recursos para explicar un riesgo de seguridad

Question

Tengo un desarrollador que le ha dado a los usuarios la capacidad de descargar un archivo zip que contiene un documento html que hace referencia a un archivo javascript relativo y un documento flash. El documento flash acepta como uno de sus parámetros una URL que está incrustada en el documento html. Creo que este archivo está destinado a ser utilizado como un medio para transferir un anuncio a alguien que usaría la fuente para mostrar el anuncio en su sitio, sin embargo, el usuario final parece querer verlo localmente.

Cuando se abre el documento html se presenta el documento flash y cuando el usuario hace clic en el documento flash se redirige a esta URL incrustada. Sin embargo, si uno extrae el archivo en el escritorio y abre el documento html en un navegador y hace clic en el objeto flash, no ocurre nada observable, no serán redirigidos a la url externa.

Creo que esto es un riesgo de seguridad porque uno se está transfiriendo desde la zona de la computadora local a una zona externa.

Estoy tratando de determinar la mejor manera de explicar este riesgo de seguridad en el más simple de los términos para un usuario final. Simplemente creen que está "roto" cuando no está roto, están protegidos de una vulnerabilidad conocida.

El desarrollador intentó explicar cómo copiar los archivos en una instancia local de iis, lo que dudo mucho que se ejecute en la máquina de los usuarios, y no considero que esta sea una explicación viable.

Answer 1

No creo que sea un problema. Ser capaz de ir en la dirección opuesta, es decir ejecutar script que se origina desde una zona Remota a la zona local se llama "Cross Zone Scripting". De hecho, el más recent 0-day against IE usa scripts de zonas cruzadas para obtener la ejecución remota de código.

Si mira el restrictions for Adobe Air puede ver que es menos restrictivo que el Same Origin Policy cuando se trata de acceder a recursos remotos. No puedo pensar en un escenario en el que esto sea valioso para un atacante. Especialmente cuando se compara con otro código ejecutado localmente, como un ejecutable escrito en C++.

Answer 2

¿Sería útil this? Parece implicar que cuando bloquea el contenido local, el usuario recibe una notificación como tal, pero parece que está fallando silenciosamente.