Actualités

Slack : quand une injection HTML débouche sur une vulnérabilité XSS ! (la “slack” sécuritaire…)

Désormais corrigée mais divulguée depuis peu pour des raisons de sécurité (embargo, en adéquation avec la politique sécuritaire de Slack a cet égard), la faille permettait une injection de code HTML permettant une exécution de code à distance. En addition, une faille XSS (Cross-Site-Scripting) pouvait, également, être exploitée…

 

 

Signalée par son découvreur (Oskarsv) sur HackerOne depuis le 29 Janvier dernier, la charge virale se diffusait depuis un simple post sur une chaîne voire depuis un profil-utilisateur. De là, l’injection HTML peut s’opérer avec un fichier uploadé  vers les serveurs. Une fois le terminal de la victime infecté, une redirection-HTTPS s’opère pour exécuter de manière distant du code JavaScript malveillant. Le tout fonctionne, aussi, depuis une faille XSS.

 

Concernant cette dernière, les mails sont ciblés : en effet, du fait que ceux-ci étaient stockés sur des serveurs dont la sécurité était peu ou prou renforcée, le fichier uploadé – PoC – a pu être uploadé aisément, sans restriction ou rejet, côté Slack. Un mail plain-text (uniquement du texte et des hyperliens) est utilisé, alors, comme vecteur via un client de messagerie (type macOS) pour joindre le mail frauduleux au futur fichier uploadé.

Au final, bon nombre de données étaient compromises : mots de passe, clés privés, tokens, fichiers privés, conversations privés. En terme d’applications, le phishing pouvait constituer l’une des attaques de cette faille qui, hors XSS, prenait les traits d’un fichier JSON en tant que charge malveillante… A veiller !

 

 

Source : Slack – 28 Août 2020 – Exécution à distance de code pouvant déboucher sur une exploitation de type XSS.




  • 50% J'apprécieVS
    50% Je n'apprécie pas
    Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-1: :+1: :) :( 8-O 8)

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2020