OAuth e XSS: Milioni di Utenti a Rischio per il bug scoperto da Salt Security

Redazione RHC : 30 Luglio 2024 20:53

La società di sicurezza API Salt Security ha identificato difetti critici di sicurezza in due servizi web ampiamente utilizzati, Hotjar e Business Insider. Gli esperti avvertono che le vulnerabilità scoperte mettono a rischio milioni di utenti in tutto il mondo.

Hotjar, uno strumento che integra Google Analytics, registra l’attività dell’utente per analizzarne il comportamento. Viene utilizzato da oltre un milione di siti Web, inclusi marchi famosi come Adobe, Microsoft, Panasonic, Columbia, RyanAir, Decathlon, T-Mobile e Nintendo. Data la natura del funzionamento di Hotjar, il servizio raccoglie enormi quantità di informazioni personali e riservate: nomi, indirizzi e-mail, indirizzi di casa, messaggi personali, informazioni bancarie e, in alcuni casi, anche credenziali dei clienti.

I ricercatori di Salt Labs hanno scoperto che gli aggressori possono sfruttare una combinazione di vulnerabilità nello standard di autenticazione OAuth attraverso cross-site scripting ( XSS ) per impossessarsi degli account. OAuth è uno standard moderno che viene sempre più utilizzato per l’autenticazione tra siti, come quando vedi l’opzione “accedi con Facebook” o “accedi con Google”.

Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AI Vuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

XSS è considerata una delle vulnerabilità delle applicazioni web più comuni. Consente a un utente malintenzionato di inserire codice dannoso in una pagina Web legittima per eseguire script nel browser del visitatore del sito per rubare dati ed eseguire altre attività dannose.

Gli esperti hanno dimostrato come sia possibile manipolare il processo di autenticazione social di Hotjar, che reindirizza l’utente a Google per ottenere un token OAuth. Questo token è un URL contenente una stringa speciale che può essere letta dal JavaScript, creando una vulnerabilità XSS.

Un problema simile è stato scoperto sul sito Business Insider, un popolare portale di notizie con milioni di lettori in tutto il mondo. In questo caso la vulnerabilità è stata individuata nella versione mobile del sito, dove anche il processo di autenticazione era vulnerabile ad attacchi XSS.

Yaniv Balmas, vicepresidente della ricerca di Salt, sottolinea che le vulnerabilità scoperte probabilmente saranno molto più diffuse e potrebbero colpire molti altri servizi online.

Salt Labs ha tempestivamente informato Hotjar e Business Insider dei problemi. Le vulnerabilità sono state risolte dopo pochi giorni dalla segnalazione.

La vulnerabilità sul sito Web di Business Insider è stata scoperta il 20 marzo e la società ha risolto il problema il 30 marzo. Il difetto Hotjar è stato scoperto il 17 aprile e corretto due giorni dopo dalla notifica.

Gli esperti esortano gli amministratori dei siti Web a prestare particolare attenzione durante l’implementazione di OAuth per evitare questo tipo di scenari di attacco. Balmas consiglia: “Quando si implementa una nuova tecnologia, ci sono molti fattori da considerare, inclusa, ovviamente, la sicurezza. Un’implementazione solida e valida dovrebbe essere sicura e impedire a un utente malintenzionato di sfruttare questo vettore di attacco”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli