Ils réussissent une attaque XXE sur un serveur de production de Google,

Des chercheurs en sécurité réussissent une attaque XXE sur un serveur de production de Google
et sont gratifiés de la coquette somme de 10 000 dollars

Il n’existe pas de sécurité parfaite, et aucun système n’est invincible. Un groupe de chercheurs du cabinet de sécurité detectify, en réalisant leur challenge quotidien, viennent de se retrouver gratifié par Google d’un chèque de 10 000 dollars. À l’origine de cet événement, ils ont réussi une attaque XXE (XML External Entity) sur l’un des serveurs de production de Google.

L’attaque consiste à envoyer à un analyseur syntaxique XML, un fichier malicieux qu’il n’est pas capable d’interpréter correctement. Parmi les conséquences de l’attaque XXE, on peut citer entre autres : l’accès aux fichiers locaux, le Déni de service, ou encore l’exécution à distance de code arbitraire.

Concrètement, les chercheurs ont envoyé aux serveurs de la firme de Mountain View un fichier XML malicieux pour personnaliser les boutons du « Google Toolbar Button galery ». Le résultat fut phénoménal. Ils ont réussi à l’aide de leur fichier malicieux à avoir l’accès aux fichiers passwd et hosts du dossier /etc, d’un des serveurs internes de production de Google.

Par la suite, ils ont contacté l’équipe compétente de Google pour lui faire part de la découverte de la vulnérabilité XXE. Pour récompenser leurs efforts, ils se sont vus gratifiés de cette belle somme.

Source : blog Detectify

Et vous ?

:fleche: Qu'en pensez-vous ?

Y a pas à dire j'aime cette politique chez Google.
Ils ont tout compris. Les sommes données sont dérisoires par rapport aux conséquences possibles.

Heureusement que Google a une attitude constructive dans ce genre d'histoires... Certaines entreprises se seraient empressées d'attaquer en justice les découvreurs de la faille au lieu de les remercier.

Citation:

---

Envoyé par tomlev

Heureusement que Google a une attitude constructive dans ce genre d'histoires... Certaines entreprises se seraient empressées d'attaquer en justice les découvreurs de la faille au lieu de les remercier.

---

Ou de carrément leur envoyer le FBI :

http://www.developpez.com/actu/70019/Pourquoi-les-hackers-ethiques-sont-ils-mal-percus-par-les-entreprises-L-un-d-eux-fait-les-frais-du-FBI/

Ils étaient combien ?
Car
10000$ pour Google c'est rien
et
10000$ / 2 c'est très sympa
10000$ / 3 c'est sympa
10000$ / 4 c'est encore sympa
10000$ / 5 c'est plutôt correcte
10000$ / + 6 c'est plus une récompense c'est juste une prime de salaire


donc 10000$ chacun ça aurait était mieux.

Juste 10K$ faut être passionné... parce que comme dit plus haut c'est vraiment une somme dérisoire comparé aux conséquences d'une telle attaque. Et encore, dérisoire, c'est un énorme euphémisme.

Au delà de la récompense, vu que l'affaire a été largement médiatisé, ça fait une excellente pub pour ce cabinet de sécurité.

Même 10 000$ / 20 c'est toujours plus intérressant comme "prime", que de se faire attaquer en justice ou envoyer le FBI...

Certes pour Google c'est une somme insignifiante, mais comme l'on dit certains, c'est déjà bien que Google agisse dans ce sens et récompense (même légèrement) ce genre de découverte qui aurait pu leur faire perdre plus, plutôt que de réagir comme certaines autres firmes qui, non-content d'avoir une faille découverte gratuitement à corriger pour éviter des pertes, se regavent une deuxième fois en justice...

C'est du gagnant/gagnant.

C'est la meilleur politique qui puisse exister. Récompenser les honnêtes gens pour couper l'herbe sous le pied des escrocs.

comment ont ils fait ca ? comment s'en prémunir ?

Citation:

---

Envoyé par mapmip

comment ont ils fait ca ? comment s'en prémunir ?

---

Le mode opératoire est expliqué sur le blog des auteurs de l'attaque (lien à la fin de la news).

Citation:

---

The root cause of XXE vulnerabilities are naive XML parsers that blindly interpret the DTD of the user supplied XML documents.

---

La vulnérabilité vient du fait que le parser XML de l'outil interprète bêtement toute la DTD du fichier XML. La DTD détermine la syntaxe de ton fichier XML, et permet d'autres règles, dont les chercheurs ont abusé.

Documentation: OWASP

Un exemple que tu peux voir sur ce lien:

Code:

---

1 2 3 4

<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM "file:///etc/passwd" >]><foo>&xxe;</foo>

---

Pour s'en prémunir il faut faire attention à ce que la DTD ne soit pas interprétée quand ton application lis un fichier XML. Dans le lien précédent (wiki d'OWASP), tu peux voir la liste des bibliothèques XML couramment utilisées dans les différents langages, si par défaut elles lisent la DTD ou non, et leurs différentes options pour que ce ne soit pas le cas.

Citation:

---

Envoyé par benjani13

Le mode opératoire est expliqué sur le blog des auteurs de l'attaque (lien à la fin de la news).



La vulnérabilité vient du fait que le parser XML de l'outil interprète bêtement toute la DTD du fichier XML. La DTD détermine la syntaxe de ton fichier XML, et permet d'autres règles, dont les chercheurs ont abusé.

Documentation: OWASP

Un exemple que tu peux voir sur ce lien:

Code:

---

1 2 3 4

<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM "file:///etc/passwd" >]><foo>&xxe;</foo>

---

Pour s'en prémunir il faut faire attention à ce que la DTD ne soit pas interprétée quand ton application lis un fichier XML. Dans le lien précédent (wiki d'OWASP), tu peux voir la liste des bibliothèques XML couramment utilisées dans les différents langages, si par défaut elles lisent la DTD ou non, et leurs différentes options pour que ce ne soit pas le cas.

---

dans /etc/passwd, les mots de passe sont codés , donc le seul danger c'est la récupération des logins ?

Citation:

---

Envoyé par mapmip

dans /etc/passwd, les mots de passe sont codés , donc le seul danger c'est la récupération des logins ?

---

La lecture d'/etc/passwd n'était qu'un exemple, tu pourrais aller lire n'importe quel autre fichier du serveur avec ce que sa engendre (données confidentiels, login et password en tout genre, code sources de pages web, etc).
De plus, si un attaquant te pique ton /etc/passwd et ton /etc/shadow (si l'application vulnérable tourne en root) il peut cracker les mots de passes si ceux ci sont trop simple avec différents outils.

Les autres attaques potentiels par ce biais sont cités dans l'article du blog:

Citation:

---

local file access, SSRF and remote file includes, Denial of Service and possible remote code execution

---

Les chercheurs se sont arrêté à un simple PoC, ils n'ont pas chercher à aller plus loin (ce qui est logique, leur seul but était de montrer que la faille était là, pas de s'en servir).

Citation:

---

Envoyé par tomlev

Heureusement que Google a une attitude constructive dans ce genre d'histoires... Certaines entreprises se seraient empressées d'attaquer en justice les découvreurs de la faille au lieu de les remercier.

---

Ça a déjà été le cas, je vous laisse rechercher sur google en commençant par le mot "yes-card" et ensuite rechercher de manière un peu plus approfondie sur google.
Evidemment, je vous parle de résultats en France, avec notre belle mentalité. :traine:

on ne peut se vanter aujourd'hui de la securité dr nos données peu importe le chiffrement utilisé. Et je pense aussi que ces monsieurs méritent mieux que ça

Ils aurait pu donner un peu plus, vue l'argent que ça peut représenter une telle faille...
Déjà qu'ils ne paient pas leurs impôts ...
Faut croire que plus on a d'argent, plus on devient radin ... Pourvu que je ne devienne pas trop riche (mais un peu quand même :mouarf:)

La NSA aurait sans doute était plus généreuse.