Onderzoeker vindt ernstige kwetsbaarheid in PayPal
Onderzoeker Michael Stepankin laat in een blog posting weten een ernstige kwetsbaarheid gevonden te hebben in PayPal. Met behulp van de kwetsbaarheid was Stepankin in staat om systeemcommando's uit te voeren op de servers van Paypal.
Het gaat om een zogeheten "Java Object Deserialization" kwetsbaarheid. Dit type kwetsbaarheid ontstaat wanneer ontwikkelaars, zonder enige vorm van validatie, gebruikersinvoer deserialiseren.
Serialisatie
Serialisatie omvat het omzetten van objecten (bijvoorbeeld een object waarin de informatie van een gebruiker wordt opgeslagen) naar een stroom van bytes die makkelijk over het netwerk verstuurd kunnen worden. De applicatie die de stroom van bytes ontvangt kan deze deserialiseren om weer het originele object te verkrijgen.
De kwetsbaarheid ontstaat wanneer een aanvaller deze stroom van bytes zelf kan opgeven of kan aanpassen. Hierdoor kunnen de deseralisatie functies van de ontvangen applicatie beïnvloed worden en bijvoorbeeld systeem commando's uitvoeren of ander ongewenst gedrag vertonen.
Dit soort kwetsbaarheden komen niet alleen voor in Java, maar bijvoorbeeld ook in Python en PHP.
Bonus
PayPal heeft de kwetsbaarheid inmiddels verhopen en een Bug Bounty van $ 5000 uitgekeerd aan Michael Stepankin.Zeggen dat deze kwetsbaarheid in Java, PHP en Python voorkomt is zoiets als zeggen dat SQL injection in SQL Server, MySQL en PostgreSQL voorkomt. Bij SQL injection zijn we toch gewend om dat niet als een fout in het DBMS te zien maar als een fout in de applicatie die het gebruikt. Laten we dat bij deserialiseren van niet-gevalideerde objecten ook doen. De fout komt dus niet voor in de programmeertaal maar in de applicatie.
Dit is een webapplicatie die een geserialiseerd object in HTML-formulieren liet meeliften met de naam "oldFormData". Dat suggereert dat het de inhoud van eerder ingevulde formuliervelden bevat. Dan kan je net zo goed JSON, YAML, XML of zo als serialisatieformaat kiezen, dat reduceert de mogelijkheden van een malafide gebruiker al aanzienlijk. Maar ook dan moet de ontwikkelaar nagaan of er geen misbruik van gemaakt kan worden, een webwinkel doet zichzelf bijvoorbeeld geen plezier als de klant zelf de prijs van een artikel kan verlagen in een bestelling door fouten hiermee. Als ervoor gekozen wordt sessiedata niet op de server bij te houden maar dat uit te besteden aan de client dan moet die data bij elke interactie gevalideerd worden.
In de vergelijking PHP - Python - Java steekt Java er met kop en schouders bovenuit. Ook in een vergelijking met andere server side programmeertalen zoals bv. (ASP.NET's) C# of Ruby komt het er goed uit.
Een Linux kernel ga je niet in Java schrijven. Embedded toepassingen zijn er weer wel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.