Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Une jolie faille XXE dans les serveurs de Google

Il n’y a pas que le Heartbleed bug dans la vie pour s’amuser ! Non, il y a aussi cette faille XXE qui permet d’exploiter certains parsers XML qui interprètent aveuglement n’importe quelle DTD fournie avec un document XML.

Résultat, il est alors possible d’accéder à des fichiers locaux, de forger des requêtes côté serveur, de réaliser un déni de service via un RFI,  voire même d’exécuter du code à distance.

Bref, c’est moche. Surtout quand on apprend que la team Detectify est tombé sur une faille de ce type sur les serveurs de Google. En effet, en fouillant un peu, ils sont tombé sur la galerie de boutons pour la Google Toolbar qui permet à chacun de personnaliser sa propre toolbar avec des nouveaux boutons simplement en uploadant son propre XML customisé.

L’équipe de Detectify a tout simplement lu les spécifications de cet outil et conçu spécialement pour l’occasion un fichier XML permettant de conduire une attaque XXE. Une fois fait, ils ont uploadé le fichier XML sur les serveurs de Google et taaadaaaa…

googlexxe_passwd_blurred_873

googlexxe_hosts_blurred_873

Comme vous pouvez le voir sur les captures-écran, ils ont forgé leur XML pour obtenir du serveur, le contenu des fichiers /etc/passwd et /etc/hosts présents sur l’un des serveurs en production de Google.

  
 
   ]>&xxe;

Évidemment, Google a été prévenu, a corrigé la faille et va même leur filer 10 000 $ dans le cadre de leur programme de bug bounty.

Dans tous les cas, si vous utilisez un parser XML dans vos projets, vérifiez qu’il soit bien patché contre ce genre d’attaque.



Vérifiez la sécurité de votre compte Gmail

Je ne recommande à personne d’utiliser une boite mail Gmail pour tout un tas de raisons liées à l’exploitation des données personnelles, au patriot act, en passant par la lecture automatisée des emails…etc.

Toutefois si vous avez encore un compte Gmail, qui plus est, ancien mais encore en activité, il serait peut-être bien de vérifier la qualité de sa sécurité. …

Lire la suite



Comment bloquer Red Shell, le spyware des gamers

Si vous suivez un peu l’actualité du jeu vidéo, vous n’avez surement pas manqué la polémique Red Shell. Cet outil mis sur le marché en 2017 par la société Innervate est très utilisé par les éditeurs de jeux pour mesurer la quantité de nouvelles installations de leurs jeux générés par une pub Facebook, YouTube ou Twitter.

Lire la suite



Mettre en place un backup de Github

C’est cool de faire confiance à des sites pour conserver nos données, mais il peut arriver à un moment que celles-ci disparaissent. Soit parce que vous ne respectez plus les CGU du site, soit parce que le site a subi une panne vraiment importante et que leur processus de sauvegarde a été négligé, soit parce que vous avez vous-même supprimé vos données par erreur tel un gros boulet (ça arrive souvent aussi, même aux meilleurs).

Lire la suite