Der XSS-Schutz des IE8 bröckelt.

Der neueingeführte Cross-Site-Scripting Schutz des Internet Explorer 8 lässt sich anscheinend aushebeln.

Gorgio (der Entwickler von NoScript) berichtet in einem Blogeintrag darüber.

Konkret liegt das Problem in der Art der Filterung des IE8. So manipuliert der Internet Explorer die Antwort (Response) des Servers und verändert sie so, dass kein Code ausgeführt werden soll.

Hier liegt der Designfehler vor. Ich stelle mir es so vor, dass es sich ähnlich dem doppeltem Escapen verhält:

badBADCODEcode -> Filter = badcode

Bei OWASP gibt es ein Anti-XXS Sheet, also eine Anleitung wie man sich vor Cross-Site-Scripting schützt.

Die Anleitung ist auf englisch und enthält ein Regelwerk gegen Cross-Site-Scripting.

Zur Anleitung