La società di sicurezza API Salt Security ha identificato difetti critici di sicurezza in due servizi web ampiamente utilizzati, Hotjar e Business Insider. Gli esperti avvertono che le vulnerabilità scoperte mettono a rischio milioni di utenti in tutto il mondo.
Hotjar, uno strumento che integra Google Analytics, registra l’attività dell’utente per analizzarne il comportamento. Viene utilizzato da oltre un milione di siti Web, inclusi marchi famosi come Adobe, Microsoft, Panasonic, Columbia, RyanAir, Decathlon, T-Mobile e Nintendo. Data la natura del funzionamento di Hotjar, il servizio raccoglie enormi quantità di informazioni personali e riservate: nomi, indirizzi e-mail, indirizzi di casa, messaggi personali, informazioni bancarie e, in alcuni casi, anche credenziali dei clienti.
I ricercatori di Salt Labs hanno scoperto che gli aggressori possono sfruttare una combinazione di vulnerabilità nello standard di autenticazione OAuth attraverso cross-site scripting ( XSS ) per impossessarsi degli account. OAuth è uno standard moderno che viene sempre più utilizzato per l’autenticazione tra siti, come quando vedi l’opzione “accedi con Facebook” o “accedi con Google”.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
XSS è considerata una delle vulnerabilità delle applicazioni web più comuni. Consente a un utente malintenzionato di inserire codice dannoso in una pagina Web legittima per eseguire script nel browser del visitatore del sito per rubare dati ed eseguire altre attività dannose.
Gli esperti hanno dimostrato come sia possibile manipolare il processo di autenticazione social di Hotjar, che reindirizza l’utente a Google per ottenere un token OAuth. Questo token è un URL contenente una stringa speciale che può essere letta dal JavaScript, creando una vulnerabilità XSS.
Un problema simile è stato scoperto sul sito Business Insider, un popolare portale di notizie con milioni di lettori in tutto il mondo. In questo caso la vulnerabilità è stata individuata nella versione mobile del sito, dove anche il processo di autenticazione era vulnerabile ad attacchi XSS.
Yaniv Balmas, vicepresidente della ricerca di Salt, sottolinea che le vulnerabilità scoperte probabilmente saranno molto più diffuse e potrebbero colpire molti altri servizi online.
Salt Labs ha tempestivamente informato Hotjar e Business Insider dei problemi. Le vulnerabilità sono state risolte dopo pochi giorni dalla segnalazione.
La vulnerabilità sul sito Web di Business Insider è stata scoperta il 20 marzo e la società ha risolto il problema il 30 marzo. Il difetto Hotjar è stato scoperto il 17 aprile e corretto due giorni dopo dalla notifica.
Gli esperti esortano gli amministratori dei siti Web a prestare particolare attenzione durante l’implementazione di OAuth per evitare questo tipo di scenari di attacco. Balmas consiglia: “Quando si implementa una nuova tecnologia, ci sono molti fattori da considerare, inclusa, ovviamente, la sicurezza. Un’implementazione solida e valida dovrebbe essere sicura e impedire a un utente malintenzionato di sfruttare questo vettore di attacco”.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cultura
Cybercrime
Cybercrime
Cultura
Cybercrime