{"id":53579,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ataka-na-hackerone-pozvolivshaya-poluchit-dostup-k-zakrytym-otchyotam-ob-uyazvimostyah"},"modified":"2021-01-02T13:04:14","modified_gmt":"2021-01-02T11:04:14","slug":"ataka-na-hackerone-pozvolivshaya-poluchit-dostup-k-zakrytym-otchyotam-ob-uyazvimostyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-na-hackerone-pozvolivshaya-poluchit-dostup-k-zakrytym-otchyotam-ob-uyazvimostyah","title":{"rendered":"Une attaque sur HackerOne permettant d'acc\u00e9der \u00e0 des rapports de vuln\u00e9rabilit\u00e9s ferm\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La plateforme HackerOne, qui permet aux chercheurs en s\u00e9curit\u00e9 d'informer les d\u00e9veloppeurs sur les vuln\u00e9rabilit\u00e9s identifi\u00e9es et de recevoir des r\u00e9compenses pour cela, a subi rapport<\/a><\/noindex> une violation de ses propres syst\u00e8mes. Un des chercheurs a r\u00e9ussi \u00e0 acc\u00e9der au compte d'un analyste en s\u00e9curit\u00e9 de HackerOne, ayant la capacit\u00e9 de consulter des informations confidentielles, y compris des donn\u00e9es sur des vuln\u00e9rabilit\u00e9s non corrig\u00e9es. Depuis le lancement de la plateforme, HackerOne a vers\u00e9 au total 23 millions de dollars aux chercheurs pour l'identification de vuln\u00e9rabilit\u00e9s dans les produits de plus de 100 clients, parmi lesquels Twitter, Facebook, Google, Apple, Microsoft, Slack, le Pentagone et la Marine am\u00e9ricaine.<\/p>\n

Il est remarquable que la capture du compte ait \u00e9t\u00e9 possible en raison d'une erreur humaine. L'un des chercheurs a soumis une demande concernant une vuln\u00e9rabilit\u00e9 potentielle sur HackerOne. Au cours de l'examen de la demande, l'analyste de HackerOne a tent\u00e9 de reproduire la m\u00e9thode de piratage propos\u00e9e, mais il n'a pas r\u00e9ussi \u00e0 reproduire le probl\u00e8me, et l'auteur de la demande a re\u00e7u une r\u00e9ponse demandant des d\u00e9tails suppl\u00e9mentaires. Ce faisant, l'analyste n'a pas remarqu\u00e9 qu'il avait envoy\u00e9 par inadvertance le contenu de son cookie de session avec les r\u00e9sultats de l'\u00e9chec de la v\u00e9rification. En particulier, au cours de l'\u00e9change, l'analyste a donn\u00e9 un exemple d'une requ\u00eate HTTP ex\u00e9cut\u00e9e avec l'outil curl, incluant les en-t\u00eates HTTP, dont il a oubli\u00e9 de nettoyer le contenu du cookie de session.<\/p>\n

Le chercheur a remarqu\u00e9 cette n\u00e9gligence et a pu acc\u00e9der \u00e0 un compte privil\u00e9gi\u00e9 sur le site hackerone.com en rempla\u00e7ant simplement la valeur Cookie remarqu\u00e9e, sans avoir \u00e0 passer par l'authentification multifacteur mise en place par le service. L'attaque a \u00e9t\u00e9 rendue possible car hackerone.com ne liait pas les sessions \u00e0 l'adresse IP ou au navigateur de l'utilisateur. L'identifiant de session probl\u00e9matique a \u00e9t\u00e9 supprim\u00e9 deux heures apr\u00e8s la publication du rapport de fuite. Pour avoir signal\u00e9 le probl\u00e8me, il a \u00e9t\u00e9 d\u00e9cid\u00e9 de verser 20 000 dollars au chercheur.<\/p>\n

HackerOne a lanc\u00e9 un audit pour analyser d'\u00e9ventuelles fuites de cookies dans le pass\u00e9 et \u00e9valuer les risques potentiels de fuites d'informations confidentielles concernant les probl\u00e8mes des clients du service. L'audit n'a r\u00e9v\u00e9l\u00e9 aucune fuite dans le pass\u00e9 et a d\u00e9termin\u00e9 que le chercheur ayant d\u00e9montr\u00e9 le probl\u00e8me avait pu obtenir des informations sur environ 5% de tous les programmes soumise au service, auxquels un analytique avait acc\u00e8s, dont la cl\u00e9 de session avait \u00e9t\u00e9 utilis\u00e9e.<\/p>\n

Pour prot\u00e9ger contre des attaques similaires \u00e0 l'avenir, la liaison de la cl\u00e9 de session \u00e0 une adresse IP<\/a> et le filtrage des cl\u00e9s de session et des tokens d'authentification dans les commentaires ont \u00e9t\u00e9 mises en place. \u00c0 l'avenir, la liaison \u00e0 l'IP est pr\u00e9vue d'\u00eatre remplac\u00e9e par une liaison aux appareils des utilisateurs, car la liaison \u00e0 l'IP est peu pratique pour les utilisateurs ayant des adresses attribu\u00e9es dynamiquement. Il a \u00e9galement \u00e9t\u00e9 d\u00e9cid\u00e9 d'\u00e9tendre le syst\u00e8me de logs avec des informations sur l'acc\u00e8s des utilisateurs aux donn\u00e9es et de mettre en \u0153uvre un mod\u00e8le d'acc\u00e8s granulaire pour les analystes aux donn\u00e9es des clients.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 HackerOne, \u0434\u0430\u044e\u0449\u0430\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0437\u0430 \u044d\u0442\u043e \u0432\u043e\u0437\u043d\u0430\u0433\u0440\u0430\u0436\u0434\u0435\u043d\u0438\u044f, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u043e\u0442\u0447\u0451\u0442 \u043e \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u043c \u0432\u0437\u043b\u043e\u043c\u0435. \u041e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0447\u0451\u0442\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u043f\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 HackerOne, \u0438\u043c\u0435\u044e\u0449\u0435\u0433\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0441\u043e \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f\u043c\u0438 \u043e\u0431 \u0435\u0449\u0451 \u043d\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0451\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u0417\u0430 \u0432\u0440\u0435\u043c\u044f \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0447\u0435\u0440\u0435\u0437 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53579","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Attaque sur HackerOne ayant permis d'acc\u00e9der \u00e0 des rapports confidentiels sur des vuln\u00e9rabilit\u00e9s | ProHoster","description":"La plateforme HackerOne, qui permet aux chercheurs en s\u00e9curit\u00e9 d'informer les d\u00e9veloppeurs sur les vuln\u00e9rabilit\u00e9s identifi\u00e9es et de recevoir des r\u00e9compenses pour cela, a subi","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-na-hackerone-pozvolivshaya-poluchit-dostup-k-zakrytym-otchyotam-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0430 \u043d\u0430 HackerOne, \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0432\u0448\u0430\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u043c \u043e\u0442\u0447\u0451\u0442\u0430\u043c \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 HackerOne, \u0434\u0430\u044e\u0449\u0430\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0437\u0430 \u044d\u0442\u043e \u0432\u043e\u0437\u043d\u0430\u0433\u0440\u0430\u0436\u0434\u0435\u043d\u0438\u044f, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-na-hackerone-pozvolivshaya-poluchit-dostup-k-zakrytym-otchyotam-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2021-01-02T11:04:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53579","title":null,"description":"","keywords":"","keyphrases":null,"primary_term":null,"canonical_url":"","og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-08 20:46:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-08 20:46:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53579","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=53579"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53579\/revisions"}],"predecessor-version":[{"id":157785,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53579\/revisions\/157785"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=53579"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=53579"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=53579"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}