Yahoo: une vulnérabilité a permis à un hacker de supprimer 1,5 million de dossiers de la base de données

Yahoo! Le 4ème site le plus visité d'Internet qui c'est trouvé plusieurs fois vulnérables, c'est vu cette fois visé par un pirate qui a revendiqué avoir repérer une vulnérabilité critique dans le sous-domaine de 'suggestions.yahoo.com », cette faille qui pourrait permettre à un attaquant de supprimer tout le fil posté et des commentaires sur le site Web du Conseil Suggestion de Yahoo.

L'analyste égyptien en cybersécurité, Ibrahim Raafat ',a trouvé et démontré «Direct Object Reference vulnérabilité insécurité» dans le site Web de Yahoo sur son blog..

L'exploitation de la faille intensifie les privilèges d'utilisateur qui permettent à un pirate informatique de supprimer plus de 365,000 postes et 1,155,000 commentaires de la base de données sur Yahoo!. Voici l'explication avec les détails techniques de la vulnérabilité:

Suppression de Commentaires: Lors de la suppression de son propre commentaire, Ibrahim remarqué l'en-tête HTTP de la requête POST, c'est à dire

prop=adressbook&fid=367443&crumb=Q4.PSLBfBe.&cid=1236547890&cmd=delete_comment

Le paramètre "fid" est le thème id et "cid" est le commentaire ID respectif. Lors des tests, il a trouvé en modifiant les valeurs des paramètres fides et cid ceci lui a permis de supprimer d'autres commentaires du forum, qui sont réellement affichées par un autre utilisateur.

Suppression de messages: Ensuite, il aussi a testé le mécanisme d'effacement de poste et y a trouvé une échappatoire semblable. Une demande de POSTE d'En-tête HTTP normale pour supprimer un poste est:

POST cmd = delete_item & mie = SbWqLz. LDPO

Il a constaté qu'en ajoutant le fid (sujet Identifiant) variable à l'URL cela lui permet de supprimer le poste respectif, qui n'a pas été publié par lui

POST cmd = delete_item & mie = SbWqLz. LDPO & fid = xxxxxxxx

Ibrahim a rapporté la faille à l'équipe de sécurité de Yahoo et a également fourni une vidéo de démonstration:

Un attaquant potentiel avec peu de connaissance dans la programmation pourrait écrire un script automatisé pour supprimer tous les commentaires et messages.

Le chasseur de vulnérabilité a affirmé qu'il avait reçu un bug bounty (prime) pour avoir signalé ce défaut de sécurité de yahoo et qui depuis a été fixé par l'entreprise.

Source: thehackernews

Comments

[sécurité informatique]

En informatique, il faut être nickel. La moindre faille peut être néfaste pour l'ensemble des activités d'une entreprise. D'ailleurs, on devrait déjà avoir pris conscience de ce fait car des mêmes cas se sont déjà présentés. Juste avec un petit vice, un pirate est capable de détruire beaucoup.