Yasser Ali, en uafhængig forsker, rapporterede, at en kritisk fejl i forebyggelse for cross-site anmodning forfalskning gjort alle PayPal-konto sårbar over for kapring. Problemet er, at PayPal har genbrugelige godkendelsestokens. De kan bruges af cyberkriminelle til at forbinde deres e-mails til den kaprede PayPal brugerkonto og få fuld kontrol over det.
Godkendelsestokens
Forskeren, der har opdaget fejlen var også i stand til at fange en godkendelse token gyldige for PayPal-konti. Han fandt ud af at token tegner sig for godkendelsesprocessen for enhver bruger anmodning ikke er blevet ændret til en e-mail-adresse. Dette gør det muligt hacker at udføre forskellige modifikationer, hvis han bliver autentificeret.
Ved at opsnappe en godkendelse token, der gælder for alle brugere, forskeren var også i stand til at omgå CSRF Protection Authorization System af PayPal. Til denne test, han brugte Burp toolkit for at få POST anmodning fra en side, der indeholder en token, før log-in processen.
Forskeren gav et eksempel med en side, der anvendes til at sende penge til en anden PayPal bruger. Sammen med e-mails af både afsender og modtager, forskeren trådte en falsk adgangskode. På denne måde et token for anmodningen om at særligt hensyn krig oprettet.
Den adgangskode
Senere i sin forskning proces, Ali forsøgt at finde nye måder at ændre den målrettede kontoens password uden at logge ind. Dette er normalt umuligt, hvis det rigtige svar på sikkerhedsspørgsmålet ikke leveres. For at nå dette stadium, den hacker skal logge ind.
Men, brugeren bliver bedt om at angive et sikkerhedsspørgsmål, når han tilmelder sig til PayPal tjeneste, som ikke er beskyttet af en adgangskode. Og ved at være i besiddelse af CSRF autentificering token, hackeren kan ændre spørgsmålet og give et andet svar.
Den token validerer følgende anmodninger:
- Fjernelse, tilføjelse og bekræfter en e-mail-adresse
- Ændring af faktureringsadresse
- Ændring af sikkerhedsspørgsmål
- Ændring af konto-konfigurationen
- Ændring af betalingsmetoder
Forskeren har givet oplysningerne, på en diskret måde gennem Bug Bounty program. I øjeblikket, alle fejlene er faste.
