Het is nooit goed nieuws toen kwetsbaarheden worden gevonden in veelgebruikte diensten zoals PayPal. Ja, een van de nieuwste, heel eng uitvoering van externe code gebreken was inderdaad in PayPal ontdekt door een onafhankelijke onderzoeker in december 2015.
Ander PayPal-gerelateerd nieuws:
PayPal Kwetsbaarheid Hiermee Account Hijacking
PayPal Phishing-schema's
Michael Stepankin heeft zojuist een kwetsbaarheid gemeld die kwaadwillende actoren in staat zou kunnen stellen productiesystemen over te nemen. Het beveiligingslek kan gemakkelijk als kritiek worden bestempeld omdat het invloed heeft op manager.paypal.com. Gelukkig, het werd gepatcht kort nadat het werd onthuld.
Een diepgaand onderzoek naar de kwetsbaarheid toont aan dat willekeurige shell-commando's kunnen zijn uitgevoerd op PayPal-webservers via deserialisatie van Java-objecten en het verkrijgen van toegang tot productiedatabases.
Leer meer over Java-deserialisatie-kwetsbaarheden
Dit is wat de onderzoeker heeft gezegd:, zoals gerapporteerd door TheRegister:
Tijdens het testen van de beveiliging van manager.paypal.com, mijn aandacht werd getrokken door de ongebruikelijke postform-parameter "oldFormData" die eruitziet als een complex object na base64-decodering. Na wat onderzoek realiseerde ik me dat het een Java-geserialiseerd object is zonder enige handtekening die door de applicatie wordt afgehandeld [die] betekent dat u een geserialiseerd object van elke bestaande klasse naar een server kunt sturen en 'readObject'’ of 'leesOplossen'’ methode van die klasse wordt genoemd.
Stepankin werd beloond $5000 voor zijn bevindingen. Interessant genoeg, Het bugrapport van Stepankin was meer een duplicaat van een ander rapport dat Mark Litchfield twee dagen eerder naar PayPal had gestuurd. Gezien dat feit, het is raar dat PayPal hem heeft betaald. Bug bounty-programma's negeren doorgaans dubbele rapporten.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: