Ein Fehler in den Filterprozess von Verkehrsbeschränkungen über das mobile API macht gesperrten Konten zugänglich ohne zusätzliche Sicherheitsdetails angefordert.
Die typische Sicherheitstechnik für solche Fälle ist, um das Konto zu sperren und verlangen eine Antwort auf eine oder mehrere Sicherheitsfragen, wenn eine falsche Benutzername-Passwort-Kombination wurde mehrfach eingegeben.
Aber, in diesem Fall, wenn der Benutzer zu einem mobilen Gerät und stellt die richtigen Daten, das Problem beseitigt.
Zugreifen Geblockt PayPal-Konten von einem iOS-Gerät
Es gibt andere Gründe für ein Konto an blockiert werden, beispielsweise, Gauner vom Zugriff illegal erworbenen Gelder verhindern.
Die Entdeckung der Schwachstelle wurde von Benjamin Kunz Mejri von Vulnerability Labor hergestellt und wurde sofort auf PayPal gemeldet. Die Sicherheitslücke wurde im Rahmen des Bug Bounty-Kampagne im März berichtet, 2013 und wurde bisher nicht festgelegt worden.
Ter Vulnerability
Der Fehler wurde in der iOS mobile Anwendung für iPad und iPhone entdeckt. Beide Produkte nicht für Restriktions Flags, die Zugriff auf das Konto zu sperren würde überprüfen,. Die betroffene Version der iOS-Anwendung ist 4.6.0. Angeblich der Fehler immer noch in der neuesten Version aktiv 5.8.
Laut dem Bericht Fehler, die API überprüft nicht, eine teilweise oder eine vollständige Kontensperrung. Das einzige, was von der API überprüft, ob das Konto vorhanden ist oder nicht,. Die blockierte Benutzer tatsächlich zugreifen seinem PayPal-Konto und machen Geschäfte.
The Glitch in einem Video Demonstriert
Die Entdeckung der Fehler mit einer Video gefördert, zeigen, wie die Sicherheitslücke Werke. Das Filmmaterial zeigt eine Person, die in falschen Anmeldeinformationen mehrmals, so dass die Rechnung blockiert werden würde. Wie wird er gebeten, die Antwort auf die Sicherheitsfrage stellen, schaltet der Benutzer auf einem iOS-Gerät und stellt die richtigen Kontodaten und erhält somit Zugriff auf die Sperrkonto.
Der Fehler-Bericht besagt, dass die Sicherheitslücke, hat eine Basisnote von CVSS 6.2, aber es wurde keine Kennung zugewiesen.
