PayPal confirme une vulnérabilité de sécurité et verse une prime à un hacker éthique

Pour signaler une violation de sécurité qui aurait pu entraîner l'exposition du mot de passe de l'utilisateur à un pirate informatique, PayPal a versé à Alex Brisan, un hacker éthique, une prime de bug de quinze mille trois cents dollars (15 300 $). PayPal a ouvertement admis que Brisan, un chercheur, avait découvert la violation et l'avait signalée.

Brisan a signalé la violation le 8 janvier, cependant, PayPal avait déjà corrigé le bug depuis décembre mais a tout de même récompensé Brisan.

Un hacker éthique, également appelé hacker à chapeau blanc, est un expert en sécurité informatique qui tente systématiquement de pénétrer dans un système informatique, un réseau, une application ou d'autres ressources informatiques au nom de ses propriétaires — et avec leur permission — pour trouver des vulnérabilités de sécurité qu'un pirate informatique malveillant pourrait exploiter.

Brisan a écrit dans sa divulgation publique que ce qui s'est produit est l'histoire d'un bug de haute gravité affectant l'une des pages les plus visitées de PayPal faisant référence au formulaire de connexion. Il a découvert la violation en explorant le flux d'authentification principal sur PayPal.

Les failles de PayPal

Selon Brisan, son attention a été attirée par le fait qu'un fichier JavaScript (JS) contenait ce qui ressemblait à un jeton de falsification de requête inter-sites (CSRF) et un identifiant de session. Fournir des données de session dans un fichier javascript valide, a déclaré Birsan, permet généralement de les récupérer par les attaquants.

Dans le même ordre d'idées, PayPal a confirmé que des jetons uniques et sensibles étaient divulgués dans un fichier JS utilisé par l'implémentation de ReCaptcha. Dans certaines circonstances, les utilisateurs devaient résoudre un défi CAPTCHA après l'authentification, et PayPal a noté que les jetons exposés étaient utilisés dans la requête POST pour résoudre le CAPTCHA.

PayPal a également confirmé qu'après avoir résolu le captcha, un utilisateur devrait ensuite se rendre sur un autre site (malveillant) et saisir ses identifiants PayPal. Cela permettrait au pirate informatique de compléter le défi de sécurité, ce qui produirait ensuite une requête de rejouage d'authentification pour afficher le mot de passe.

PayPal a expliqué en outre que, cependant, l'exposition ne s'est produite que si un utilisateur suit un lien de connexion depuis un site malveillant.

Plateforme de connexion des hackers éthiques

Pour promouvoir la cybersécurité, une organisation, HackerOne, a fourni une plateforme qui connecte les hackers éthiques avec des organisations qui paient des récompenses pour les vulnérabilités trouvées dans leurs logiciels, services ou produits.

Un hacker aurait réussi à pirater la plateforme HackerOne elle-même et a gagné 20 000 $.

En dehors de cela, il existe des compétitions de piratage où les hackers éthiques sont encouragés à participer à la recherche de violations de sécurité possibles. L'une de ces compétitions de piratage Pwn2Own se tient en mars, où quiconque peut pirater une voiture électrique Tesla Model 3 remportera 700 000 $ et une nouvelle Tesla Model.

Apple a également confirmé que quiconque pirate un iPhone recevra une récompense de 1,5 million de dollars.

Image à la une par Pixabay