Un bug di sicurezza critici è stato scoperto in LinkedIn, più precisamente in un pulsante sociale,. L'exploit del bug avrebbe potuto portare alla raccolta di informazioni degli utenti di LinkedIn, compresi quelli di cui non è stato pubblico. La scoperta è stata fatta da Jack Cable, un 18-year-old cacciatore di bug da Chicago.
Maggiori informazioni sul Bug LinkedIn Riempimento automatico
Apparentemente, la vulnerabilità risiedeva in funzione di riempimento automatico della piattaforma che alimenta il corrispondente “Riempimento automatico con LinkedIn” pulsanti che vengono implementati su alcuni portali di lavoro pubblici. Il pulsante di LinkedIn può essere aggiunto su moduli di domanda di posti di lavoro, e su clic fa una query per LinkedIn. Una volta che questo è uno, le informazioni dell'utente viene recuperato e integrato nel modulo di applicazione del lavoro.
Anche se questi tasti sono utili, essi possono essere sfruttate da qualsiasi sito web alle informazioni degli utenti del raccolto. I pulsanti possono essere nascosti e sovrapposti su un'intera pagina, e qualsiasi sito web potrebbe incorporare loro in segreto, modificare le dimensioni del tasto a coprire lo schermo. Il pulsante può diventare invisibile semplicemente modificando alcune impostazioni CSS.
Questo è come un attacco viene eseguita, come ha spiegato dal giovane ricercatore:
1. L'utente visita il sito dannoso, che carica il pulsante iframe LinkedIn Compilazione automatica.
2. L'iframe è in stile in modo che occupa l'intera pagina ed è invisibile per l'utente.
3. L'utente fa clic su un punto qualsiasi della pagina. LinkedIn interpreta come il pulsante di Compilazione automatica premuto, e invia le informazioni tramite postMessage al sito maligno.
4. Il sito raccoglie le informazioni dell'utente tramite codice specifico.
Inoltre, qualsiasi utente che ha sbarcato su un tale pagina potrebbe essere inconsapevolmente trasmesso informazioni LinkedIn al sito cliccando a caso sulla pagina.
L'exploit di questo bug non è un compito difficile e avrebbe potuto essere sfruttato in natura a scopo di raccolta di dati di massa. Per fortuna, il bug è stato risolto, con il cavo di notifica LinkedIn circa il bug. LinkedIn quindi limitato temporaneamente il pulsante per una whitelist con altri domini trusted.
Grazie a questo, aggressori erano in grado di sfruttare la funzione tramite il meccanismo descritto in precedenza.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: