OAuth e XSS: Milioni di Utenti a Rischio per il bug scoperto da Salt Security

Redazione RHC : 30 Luglio 2024 20:53

La società di sicurezza API Salt Security ha identificato difetti critici di sicurezza in due servizi web ampiamente utilizzati, Hotjar e Business Insider. Gli esperti avvertono che le vulnerabilità scoperte mettono a rischio milioni di utenti in tutto il mondo.

Hotjar, uno strumento che integra Google Analytics, registra l’attività dell’utente per analizzarne il comportamento. Viene utilizzato da oltre un milione di siti Web, inclusi marchi famosi come Adobe, Microsoft, Panasonic, Columbia, RyanAir, Decathlon, T-Mobile e Nintendo. Data la natura del funzionamento di Hotjar, il servizio raccoglie enormi quantità di informazioni personali e riservate: nomi, indirizzi e-mail, indirizzi di casa, messaggi personali, informazioni bancarie e, in alcuni casi, anche credenziali dei clienti.

I ricercatori di Salt Labs hanno scoperto che gli aggressori possono sfruttare una combinazione di vulnerabilità nello standard di autenticazione OAuth attraverso cross-site scripting ( XSS ) per impossessarsi degli account. OAuth è uno standard moderno che viene sempre più utilizzato per l’autenticazione tra siti, come quando vedi l’opzione “accedi con Facebook” o “accedi con Google”.

PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

XSS è considerata una delle vulnerabilità delle applicazioni web più comuni. Consente a un utente malintenzionato di inserire codice dannoso in una pagina Web legittima per eseguire script nel browser del visitatore del sito per rubare dati ed eseguire altre attività dannose.

Gli esperti hanno dimostrato come sia possibile manipolare il processo di autenticazione social di Hotjar, che reindirizza l’utente a Google per ottenere un token OAuth. Questo token è un URL contenente una stringa speciale che può essere letta dal JavaScript, creando una vulnerabilità XSS.

Un problema simile è stato scoperto sul sito Business Insider, un popolare portale di notizie con milioni di lettori in tutto il mondo. In questo caso la vulnerabilità è stata individuata nella versione mobile del sito, dove anche il processo di autenticazione era vulnerabile ad attacchi XSS.

Yaniv Balmas, vicepresidente della ricerca di Salt, sottolinea che le vulnerabilità scoperte probabilmente saranno molto più diffuse e potrebbero colpire molti altri servizi online.

Salt Labs ha tempestivamente informato Hotjar e Business Insider dei problemi. Le vulnerabilità sono state risolte dopo pochi giorni dalla segnalazione.

La vulnerabilità sul sito Web di Business Insider è stata scoperta il 20 marzo e la società ha risolto il problema il 30 marzo. Il difetto Hotjar è stato scoperto il 17 aprile e corretto due giorni dopo dalla notifica.

Gli esperti esortano gli amministratori dei siti Web a prestare particolare attenzione durante l’implementazione di OAuth per evitare questo tipo di scenari di attacco. Balmas consiglia: “Quando si implementa una nuova tecnologia, ci sono molti fattori da considerare, inclusa, ovviamente, la sicurezza. Un’implementazione solida e valida dovrebbe essere sicura e impedire a un utente malintenzionato di sfruttare questo vettore di attacco”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli