Faille XSS dans Yahoo!

Image illustrant l'article : Faille XSS dans Yahoo!

Faille XSS dans Yahoo!

par Korben -

Je suis actuellement à Bucarest où j’assiste à un Open Hackday organisé par Yahoo! . Objectif pour les participants : Pondre un hack original utilisant les technos de Yahoo!

Sur place, j’ai rencontré Paxnwo, un hacker de type blackhat qui va surement bien surprendre les membres du jury. En effet, il a découvert pendant les premières heures du concours une faille XSS sur le site Yahoo.com, ou plus exactement dans Yahoo! Pipes.

Capture d’écran de la page d’accueil de Yahoo avec le message d’alerte sur la faille XSS

Ironique non ?

Du coup, il a conçu un exploit plutôt impressionnant. En envoyant à un utilisateur de Yahoo Mail, un lien vers une page de son cru, il récupère les informations du cookie et peut ainsi voler la session de sa victime.

Code source HTML de la page d’accueil de Yahoo avec la faille XSS mise en évidence

Grâce à son outil, il peut alors faire plusieurs choses comme vérifier si l’utilisateur est en ligne, récupérer ses contacts, s’identifiant en tant que cet utilisateur et lire ses emails, et cerise sur le gateau, faire un “Mass send” qui enverra le fameux mail avec le lien “infecté” à tous les contacts de la victime.

Diabolique !

Illustration d’un pirate informatique avec un masque et un ordinateur portable

Pour info, la fonction Delete sert uniquement à faire un clear de la session volée pour passer à une autre.

Je lui ai demandé s’il allait expliquer à Yahoo! comment corriger cette faille mais il m’a répondu que non. Il va garder cette faille pour lui et l’exploiter pour “sa consommation personnelle”. Ahaha l’affreux Blackhat !

Edit : Finalement, il vient de montrer le code au jury de Yahoo! et l’un d’entre eux a prévenu par SMS les développeurs. J’ai eu le temps de faire mes captures écran, mais à mon avis, ça va être rapidement patché.

Juste pour la petite histoire, les services secrets Roumains étaient présents ce matin, pour prendre des photos des participants, façon “discrète mais pas trop” (vous connaissez la police…)

Vous pouvez retrouver Paxnwo et ses pôtes sur le site de sa team : rstcenter.com (en roumain)

Que faire après le bac quand on est passionné de cybersécurité ?

Contenu partenaire
Logo de l'école de Cybersécurité Guardia
Tracking Matomo Guardia

Entièrement dédiée à la cybersécurité, l'école Guardia est accessible soit directement après le bac (post-bac), soit après un bac+2 ou bac+3. En rejoignant l'école Guardia, vous deviendrez développeur informatique option cybersécurité (Bac+3) ou expert en cybersécurité (Bac+5).

Cliquez ici pour en savoir plus