OAuth e XSS: Milioni di Utenti a Rischio per il bug scoperto da Salt Security

La società di sicurezza API Salt Security ha identificato difetti critici di sicurezza in due servizi web ampiamente utilizzati, Hotjar e Business Insider. Gli esperti avvertono che le vulnerabilità scoperte mettono a rischio milioni di utenti in tutto il mondo.

Hotjar, uno strumento che integra Google Analytics, registra l’attività dell’utente per analizzarne il comportamento. Viene utilizzato da oltre un milione di siti Web, inclusi marchi famosi come Adobe, Microsoft, Panasonic, Columbia, RyanAir, Decathlon, T-Mobile e Nintendo. Data la natura del funzionamento di Hotjar, il servizio raccoglie enormi quantità di informazioni personali e riservate: nomi, indirizzi e-mail, indirizzi di casa, messaggi personali, informazioni bancarie e, in alcuni casi, anche credenziali dei clienti.

I ricercatori di Salt Labs hanno scoperto che gli aggressori possono sfruttare una combinazione di vulnerabilità nello standard di autenticazione OAuth attraverso cross-site scripting ( XSS ) per impossessarsi degli account. OAuth è uno standard moderno che viene sempre più utilizzato per l’autenticazione tra siti, come quando vedi l’opzione “accedi con Facebook” o “accedi con Google”.

XSS è considerata una delle vulnerabilità delle applicazioni web più comuni. Consente a un utente malintenzionato di inserire codice dannoso in una pagina Web legittima per eseguire script nel browser del visitatore del sito per rubare dati ed eseguire altre attività dannose.

Gli esperti hanno dimostrato come sia possibile manipolare il processo di autenticazione social di Hotjar, che reindirizza l’utente a Google per ottenere un token OAuth. Questo token è un URL contenente una stringa speciale che può essere letta dal JavaScript, creando una vulnerabilità XSS.

Un problema simile è stato scoperto sul sito Business Insider, un popolare portale di notizie con milioni di lettori in tutto il mondo. In questo caso la vulnerabilità è stata individuata nella versione mobile del sito, dove anche il processo di autenticazione era vulnerabile ad attacchi XSS.

Yaniv Balmas, vicepresidente della ricerca di Salt, sottolinea che le vulnerabilità scoperte probabilmente saranno molto più diffuse e potrebbero colpire molti altri servizi online.

Salt Labs ha tempestivamente informato Hotjar e Business Insider dei problemi. Le vulnerabilità sono state risolte dopo pochi giorni dalla segnalazione.

La vulnerabilità sul sito Web di Business Insider è stata scoperta il 20 marzo e la società ha risolto il problema il 30 marzo. Il difetto Hotjar è stato scoperto il 17 aprile e corretto due giorni dopo dalla notifica.

Gli esperti esortano gli amministratori dei siti Web a prestare particolare attenzione durante l’implementazione di OAuth per evitare questo tipo di scenari di attacco. Balmas consiglia: “Quando si implementa una nuova tecnologia, ci sono molti fattori da considerare, inclusa, ovviamente, la sicurezza. Un’implementazione solida e valida dovrebbe essere sicura e impedire a un utente malintenzionato di sfruttare questo vettore di attacco”.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks