IT BCE Business Consulting Experts

Nasi eksperci w ścisłej współpracy z Centrum Bezpieczeństwa Allegro.pl, odkryli poważny błąd typu XSS w zabezpieczeniach portalu.

Wykorzystanie luki wykrytej przez zespół IT BCE - Logicaltrust mogło skutkować kradzieżą tożsamości innego użytkownika oraz wykonywaniem w jego imieniu szeregu działań (np. licytowaniem przedmiotów). Kolejnym groźnym skutkiem usterki była możliwość podmiany zawartości wyświetlanej strony dla oglądającego (phishing).

Typowy scenariusz ataku wykorzystującego odkrytą lukę przebiegałby w następujący sposób:

• zalogowany do Allegro użytkownik odwiedza odpowiednio spreparowaną stronę napastnika,
• licytowanie wrogiej aukcji następuje automatycznie bez wiedzy i zgody legalnego użytkownika.

Natychmiastowa reakcja działu bezpieczeństwa Allegro.pl na zaistniały problem dowodzi profesjonalnego podejścia do problemów związanych z bezpieczeństwem użytkowników. Po usunięciu usterki korzystanie z portalu Allegro jest wolne od zagrożeń.

Wykrycie i zgłoszenie błędu jest częścią stałej akcji prowadzonej przez zespół Logicaltrust, mającej na celu podniesienie poziomu bezpieczeństwa polskich zasobów sieci Internet.

Screenshoty obrazujące usterkę znajdują się tutaj oraz tutaj.