Une vulnérabilité de sécurité élevée de PayPal était capable d'exposer les mots de passe des utilisateurs à des pirates

Avec plus de 286 millions de comptes actifs, PayPal est de loin le processeur de paiement le plus grand et le plus populaire au monde. Il a atteint ce titre non seulement parce qu'il fournit un service fiable et facile à utiliser, mais aussi parce que ses développeurs et ingénieurs logiciels ont mis en œuvre un certain nombre de fonctionnalités de sécurité qui donnent aux utilisateurs la tranquillité d'esprit qu'ils recherchent lors du traitement des paiements en ligne. Ironiquement, l'une de ces fonctionnalités de sécurité contenait un bogue qui pouvait exposer les utilisateurs à des attaques par prise de contrôle de compte.

Un expert en sécurité découvre une grave vulnérabilité de PayPal

La vulnérabilité a été découverte par Alex Birsan, un consultant roumain en sécurité de l'information et ingénieur logiciel qui passe également du temps à rechercher des bogues. Il était en train de fouiller dans le processus de connexion de PayPal lorsqu'il a remarqué un fichier JavaScript qui contenait un jeton CSRF (Cross-Site Request Forgery) et un ID de session. Birsan était intrigué.

Il a mentionné dans sa divulgation publique que le fait de laisser ce type de données dans un fichier JS pouvait l'exposer à des pirates. Effectivement, en utilisant une technique connue sous le nom de Cross-Site Script Inclusion (XSSI), il a élaboré un scénario dans lequel un attaquant aurait pu voler le jeton CSRF et l'ID de session d'un utilisateur qui avait été amené à visiter un malveillant page.

Au début, Alex Birsan pensait que c'était une terrible nouvelle. Il a supposé que le jeton et l'ID de session étaient suffisants pour usurper l'identité d'un utilisateur. Après de nombreuses tentatives pour reprendre son propre compte, cependant, il s'est rendu compte qu'une attaque réussie nécessiterait plus de travail. Néanmoins, il a continué.

La vulnérabilité se cache dans une fonctionnalité de sécurité conçue pour arrêter les attaques par force brute

Après une enquête plus approfondie, Birsan a découvert que le jeton CSRF et l'ID de session étaient réellement utilisés par le mécanisme CAPTCHA de PayPal. CAPTCHA, qui signifie test de Turing public complètement automatisé pour distinguer les ordinateurs et les humains, est l'une des formes les plus simples de protection contre les attaques par force brute.

Contrairement à de nombreux autres services en ligne, PayPal a décidé de ne pas inclure de défi CAPTCHA sous le formulaire de connexion principal. Au lieu de cela, il apparaît sur une page vierge après un nombre prédéfini de tentatives de connexion infructueuses. Une fois que l'utilisateur a réussi à résoudre le défi CAPTCHA, une demande HTTP POST est envoyée à PayPal, qui, en plus du jeton CSRF et de l'ID de session susmentionnés, contient également le nom d'utilisateur et le mot de passe que l'utilisateur a saisis lors de la dernière tentative de connexion en texte clair, Un peu plus de grattage de tête plus tard, Alex Birsan était prêt avec la preuve de concept.

Un attaquant utiliserait d'abord XSSI pour extraire le jeton CSRF et l'ID de session valide pour le navigateur de l'utilisateur. Ensuite, ils feraient quelques tentatives de connexion en utilisant des informations d'identification aléatoires, ce qui déclencherait le défi CAPTCHA. Lorsque l'utilisateur se connecte à son compte à l'aide du même navigateur, les noms d'utilisateur et mots de passe aléatoires sont remplacés par les informations d'identification valides. Ensuite, tout attaquant aurait besoin d'un autre jeton CAPTCHA (qui peut être récupéré relativement facilement à l'aide d'un service de résolution CAPTCHA) pour révéler les données de connexion de la cible en texte brut.

PayPal se déplace rapidement pour corriger la vulnérabilité

Comme vous pouvez le voir, trouver un moyen d'exploiter le bug n'était guère une promenade dans le parc. Néanmoins, l'attaque par preuve de concept a montré que si elle était laissée sans surveillance, la vulnérabilité pouvait causer de graves pertes financières à certaines personnes, c'est pourquoi, lorsque Birsan a soumis son rapport via le programme de prime aux bogues de PayPal sur la plate-forme HackerOne, il lui a donné une note élevée. Score CVSS.

Le premier rapport a été envoyé le 18 novembre et après 18 jours, HackerOne a finalement validé les conclusions de Birsan. PayPal a reconnu le problème et a convenu qu'il était assez grave. Le 10 décembre, Birsan a reçu une prime d'un peu plus de 15 300 $ (la somme récompensée uniquement pour les bogues de gravité élevée), et à peine 24 heures plus tard, la vulnérabilité était déjà corrigée. Birsan a décrit la vitesse à laquelle PayPal a résolu le problème comme "impressionnante" - un éloge qui est rarement donné de nos jours.