PayPal bestätigt Sicherheitsanfälligkeit, zahlt Bounty an ethischen Hacker

Für die Meldung einer Sicherheitslücke, die zur Offenlegung des Benutzerpassworts an einen Hacker führen könnte, zahlte PayPal Alex Brisan, einem ethischen Hacker, eine Bug-Bounty von fünfzehntausenddreihundert Dollar (15.300 US-Dollar). PayPal gab offen zu, dass Brisan, ein Forscher, die Lücke entdeckte und sie ihm meldete.

Brisan meldete die Lücke am 8. Januar, jedoch hatte PayPal den Fehler bereits seit Dezember behoben, belohnte Brisan dennoch.

Ein ethischer Hacker, auch als White-Hat-Hacker bezeichnet, ist ein Informationssicherheitsexperte, der systematisch versucht, ein Computersystem, ein Netzwerk, eine Anwendung oder andere Computing-Ressourcen im Auftrag seiner Eigentümer – und mit deren Erlaubnis – zu durchdringen, um Sicherheitslücken zu finden, die ein böswilliger Hacker ausnutzen könnte.

Brisan schrieb in seiner öffentlichen Offenlegung, dass das Geschehene die Geschichte eines schwerwiegenden Fehlers betrifft, der eine der meistbesuchten Seiten von PayPal betrifft, wobei er sich auf das Anmeldeformular bezieht. Er entdeckte die Lücke, während er den Hauptauthentifizierungsfluss bei PayPal erkundete.

PayPals Schlupflöcher

Laut Brisan wurde seine Aufmerksamkeit darauf gelenkt, dass eine JavaScript (JS)-Datei etwas enthielt, das wie ein Cross-Site-Request-Forgery (CSRF)-Token und eine Sitzungs-ID aussah. Die Bereitstellung von Sitzungsdaten innerhalb einer gültigen JavaScript-Datei, sagte Birsan, ermöglicht es normalerweise, dass sie von Angreifern abgerufen wird.

In diesem Zusammenhang PayPal bestätigte, dass sensible, einzigartige Token in einer JS-Datei, die von der ReCaptcha-Implementierung verwendet wird, geleakt wurden. In bestimmten Umständen mussten Benutzer eine CAPTCHA-Herausforderung lösen, nachdem sie authentifiziert waren, und PayPal bemerkte, dass die freigegebenen Token in der POST-Anfrage zur Lösung des CAPTCHA verwendet wurden.

PayPal bestätigte auch, dass ein Benutzer nach dem Lösen des Captchas zu einer anderen (bösartigen) Site gehen und seine PayPal-Anmeldedaten eingeben müsste. Dies würde es dem Hacker ermöglichen, die Sicherheitschallenge abzuschließen, was dann eine Authentifizierungsanforderungs-Wiederholung erzeugte, um das Passwort anzuzeigen.

PayPal erklärte weiter, dass die Offenlegung jedoch nur auftrat, wenn ein Benutzer einen Login-Link von einer bösartigen Site folgt.

Plattform für die Vernetzung ethischer Hacker

Um die Cybersicherheit zu fördern, hat eine Organisation, HackerOne, eine Plattform bereitgestellt, die ethische Hacker mit Organisationen verbindet, die Belohnungen für Schwachstellen zahlen, die in ihrer Software, ihren Diensten oder Produkten gefunden werden.

Ein Hacker soll angeblich die HackerOne-Plattform selbst gehackt und sich damit 20.000 US-Dollar verdient haben.

Außerhalb dessen gibt es Hacking-Wettbewerbe, bei denen ethische Hacker ermutigt werden, an der Suche nach möglichen Sicherheitslücken teilzunehmen. Einer dieser Pwn2Own-Hacking-Wettbewerbe findet im März statt, bei dem jeder, der ein Tesla Model 3 Elektroauto hacken kann, 700.000 US-Dollar und ein brandneues Tesla Model gewinnt.

Apple hat auch bestätigt, dass jeder, der ein iPhone hackt, eine Belohnung von 1,5 Millionen US-Dollar erhalten wird.

Bild: Pixabay