Des failles de s\u00e9curit\u00e9 critiques ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans la mise en \u0153uvre de l’autorisation ouverte (OAuth) de services en ligne populaires tels que Grammarly, Vidio et Bukalapak, s’appuyant sur les lacunes pr\u00e9c\u00e9dentes d\u00e9couvertes dans Booking.[.]com et Expo.<\/p>\n
Les faiblesses, d\u00e9sormais corrig\u00e9es par les soci\u00e9t\u00e9s respectives apr\u00e8s une divulgation responsable entre f\u00e9vrier et avril 2023, auraient pu permettre \u00e0 des acteurs malveillants d’obtenir des jetons d’acc\u00e8s et potentiellement de d\u00e9tourner des comptes d’utilisateurs.<\/p>\n
OAuth est un standard<\/a> il est couramment utilis\u00e9 comme m\u00e9canisme d’acc\u00e8s entre applications, permettant \u00e0 des sites Web ou \u00e0 des applications d’acc\u00e9der \u00e0 leurs informations sur d’autres sites Web, tels que Facebook, mais sans leur donner les mots de passe.<\/p>\n “Lorsque OAuth est utilis\u00e9 pour fournir une authentification de service, toute faille de s\u00e9curit\u00e9 peut entra\u00eener un vol d’identit\u00e9, une fraude financi\u00e8re et l’acc\u00e8s \u00e0 diverses informations personnelles, notamment des num\u00e9ros de carte de cr\u00e9dit, des messages priv\u00e9s, des dossiers de sant\u00e9, etc., en fonction du service sp\u00e9cifique utilis\u00e9. attaqu\u00e9”, Aviad Carmel, chercheur en s\u00e9curit\u00e9 chez Salt dit<\/a>.<\/p>\n Le probl\u00e8me identifi\u00e9 dans Vidio vient d’une absence de v\u00e9rification du token, ce qui signifie qu’un attaquant peut utiliser un token d’acc\u00e8s g\u00e9n\u00e9r\u00e9 pour un autre Identifiant de l’application<\/a>un identifiant al\u00e9atoire cr\u00e9\u00e9 par Facebook pour chaque application ou site Web enregistr\u00e9 sur son portail de d\u00e9veloppeurs.<\/p>\n Dans un sc\u00e9nario d’attaque potentiel, un acteur malveillant pourrait cr\u00e9er un site Web malveillant offrant une option de connexion via Facebook pour collecter les jetons d’acc\u00e8s et les utiliser ensuite contre Vidio.com (qui porte l’ID d’application 92356), permettant ainsi le contr\u00f4le complet du compte. .<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 API a d\u00e9clar\u00e9 avoir \u00e9galement d\u00e9couvert un probl\u00e8me similaire avec la v\u00e9rification des jetons sur Bukalapak.com via la connexion Facebook, qui pourrait entra\u00eener un acc\u00e8s non autoris\u00e9 au compte.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Des-failles-OAuth-critiques-decouvertes-dans-les-plateformes-Grammarly-Vidio.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n