Une vuln\u00e9rabilit\u00e9 des scripts crois\u00e9s (XSS) dans un cadre de tourn\u00e9e virtuel a \u00e9t\u00e9 arm\u00e9e par des acteurs malveillants pour injecter des scripts malveillants sur des centaines de sites Web dans le but de manipuler les r\u00e9sultats de recherche et d’alimenter une campagne de publicit\u00e9 au spam \u00e0 grande \u00e9chelle.<\/p>\n
Le chercheur en s\u00e9curit\u00e9 Oleg Zaytsev, dans un rapport partag\u00e9 avec le Hacker News, a d\u00e9clar\u00e9 la campagne – surnomm\u00e9e 360xss<\/strong> – Affect\u00e9 plus de 350 sites Web, notamment des portails gouvernementaux, des sites du gouvernement de l’\u00c9tat am\u00e9ricain, des universit\u00e9s am\u00e9ricaines, des cha\u00eenes h\u00f4teli\u00e8res majeures, des m\u00e9dias, des concessionnaires automobiles et plusieurs soci\u00e9t\u00e9s du Fortune 500.<\/p>\n “Ce n’\u00e9tait pas seulement une op\u00e9ration de spam”, le chercheur dit<\/a>. “C’\u00e9tait un abus \u00e0 l’\u00e9chelle industrielle des domaines de confiance.”<\/p>\n Tous ces sites Web ont une chose en commun: un cadre populaire appel\u00e9 Krpano<\/a> C’est utilis\u00e9 pour int\u00e9grer des images et des vid\u00e9os \u00e0 360 \u00b0 pour faciliter les visites virtuelles interactives et les exp\u00e9riences VR. <\/p>\n Zaytsev a d\u00e9clar\u00e9 qu’il \u00e9tait tomb\u00e9 sur la campagne apr\u00e8s avoir rencontr\u00e9 une annonce li\u00e9e \u00e0 la pornographie r\u00e9pertori\u00e9e sur Google Search mais avec un domaine associ\u00e9 \u00e0 l’Universit\u00e9 de Yale (“VirtualTour.quantuminstitute.yale[.]edu “).<\/p>\n Un aspect notable de ces URL est un param\u00e8tre XML qui est con\u00e7u pour rediriger le visiteur du site vers une deuxi\u00e8me URL qui appartient \u00e0 un autre site Web l\u00e9gitime, qui est ensuite utilis\u00e9 pour ex\u00e9cuter une charge utile cod\u00e9e de base64 via un document XML. La charge utile d\u00e9cod\u00e9e, pour sa part, r\u00e9cup\u00e8re l’URL cible (c’est-\u00e0-dire l’annonce) d’un autre site l\u00e9gitime.<\/p>\n Le param\u00e8tre XML pass\u00e9 dans l’URL d’origine servis dans les r\u00e9sultats de recherche fait partie d’un param\u00e8tre de configuration plus large nomm\u00e9 “param\u00e8tres de la passe<\/a>“C’est utilis\u00e9<\/a> quand Incorporer un t\u00e9l\u00e9spectateur de Krpano Panorama<\/a> dans une page HTML. Il est sp\u00e9cifiquement con\u00e7u pour passer les param\u00e8tres HTTP de l’URL \u00e0 la visionneuse.<\/p>\n Le probl\u00e8me de s\u00e9curit\u00e9 ici est que si l’option est activ\u00e9e, elle ouvre la porte \u00e0 un sc\u00e9nario o\u00f9 un attaquant pourrait utiliser une URL sp\u00e9cialement con\u00e7ue pour ex\u00e9cuter un script malveillant dans le navigateur Web d’une victime lorsque le site vuln\u00e9rable est visit\u00e9.<\/p>\n En effet, une faille XSS r\u00e9fl\u00e9chie r\u00e9sultant de ce comportement a \u00e9t\u00e9 divulgu\u00e9e \u00e0 Krpano fin 2020 (CVE-2020-24901<\/a>Score CVSS: 6.1), indiquant que le potentiel d’abus<\/a> est connu publiquement depuis plus de quatre ans.<\/p>\n Alors qu’une mise \u00e0 jour introduite dans la version 1.20.10 “PassQueryParameters” restreinte \u00e0 une liste d’autoroute pour tenter d’emp\u00eacher que ces attaques XSS aient lieu, ZaytSev a r\u00e9v\u00e9l\u00e9 que l’ajout explicite du param\u00e8tre XML \u00e0 la liste d’autoroute a r\u00e9introduit le risque XSS.<\/p>\n “Depuis la version 1.20.10, l’installation par d\u00e9faut de Krpano n’\u00e9tait pas vuln\u00e9rable”, a d\u00e9clar\u00e9 le chercheur au Hacker News par e-mail. “Cependant, la configuration de PassQueryParameter en combinaison avec le param\u00e8tre XML a permis une configuration XML externe via l’URL, conduisant \u00e0 un risque XSS.”<\/p>\n “Les versions exploit\u00e9es que j’ai rencontr\u00e9es \u00e9taient principalement plus anciennes, ant\u00e9rieures \u00e0 la version 1.20.10.”<\/p>\n La campagne, par Zaytsev, a exploit\u00e9 cette faiblesse pour d\u00e9tourner plus de 350 sites pour diffuser des publicit\u00e9s sommaires li\u00e9es \u00e0 la pornographie, aux compl\u00e9ments alimentaires, aux casinos en ligne et aux faux sites d’information. De plus, certaines de ces pages ont \u00e9t\u00e9 arm\u00e9es pour stimuler les vues vid\u00e9o YouTube.<\/p>\n La campagne est remarquable, notamment parce qu’elle abuse de la confiance et de la cr\u00e9dibilit\u00e9 des domaines l\u00e9gitimes pour appara\u00eetre en bonne place dans les r\u00e9sultats de recherche, une technique appel\u00e9e Empoisonnement d’optimisation des moteurs de recherche (SEO)<\/a>qui, \u00e0 son tour, est accompli en abusant du d\u00e9faut XSS.<\/p>\n “Un XSS refl\u00e9t\u00e9 est une vuln\u00e9rabilit\u00e9 amusante mais n\u00e9cessite \u00e0 lui-m\u00eame l’interaction des utilisateurs, et l’un des plus grands d\u00e9fis est de faire cliquer sur votre lien XSS r\u00e9fl\u00e9chi”, a d\u00e9clar\u00e9 Zaytsev. “Donc, utiliser des moteurs de recherche comme plate-forme de distribution pour votre XSS est une fa\u00e7on tr\u00e8s cr\u00e9ative et cool de le faire.”<\/p>\n Apr\u00e8s la divulgation responsable, la derni\u00e8re version de Krpano \u00e9limine la prise en charge de la configuration externe via le param\u00e8tre XML, att\u00e9nuant ainsi le risque d’attaques XSS m\u00eame lorsque le param\u00e8tre est utilis\u00e9.<\/p>\n “Am\u00e9lioration de la s\u00e9curit\u00e9 EmbedPano () PassQueryParameters: les donn\u00e9es et les URL externes ne sont g\u00e9n\u00e9ralement plus autoris\u00e9es comme valeurs de param\u00e8tre et les URL pour le param\u00e8tre XML sont limit\u00e9es pour se situer dans la structure du dossier actuel”, selon le notes de lib\u00e9ration<\/a> Pour la version 1.22.4 publi\u00e9e cette semaine.<\/p>\n On ne sait actuellement pas qui est \u00e0 l’origine de l’op\u00e9ration massive, bien que l’abus d’une faille XSS de servir de redirection, au lieu de mener des attaques plus n\u00e9fastes telles que les informations d’identification ou le vol de cookies, soul\u00e8ve la possibilit\u00e9 d’une entreprise de publicit\u00e9 avec des pratiques douteuses qui servent ces publicit\u00e9s comme strat\u00e9gie de mon\u00e9tisation.<\/p>\n Les utilisateurs de Krpano sont invit\u00e9s \u00e0 mettre \u00e0 jour leurs installations vers la derni\u00e8re version et \u00e0 d\u00e9finir le param\u00e8tre “PassQueryParameters” sur FALSE. Les propri\u00e9taires de sites Web affect\u00e9s sont recommand\u00e9s pour trouver et supprimer les pages infect\u00e9es via la console de recherche Google.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-pirates-ont-exploite-le-framework-Krpano-pour-injecter-des.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n