Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for cross-site scripting

cross-site scripting

TikTok Memperbaiki bug reflected XSS, eksploitasi pengambilalihan akun satu klik

by

TikTok telah menambal cacat keamanan reflected XSS dan bug yang menyebabkan pengambilalihan akun yang memengaruhi domain web perusahaan.

Dilaporkan melalui platform bug bounty HackerOne oleh peneliti Muhammed “milly” Taskiran, kerentanan pertama terkait dengan parameter URL di domain tiktok.com yang tidak dibersihkan dengan benar.

Peneliti bug bounty menemukan bahwa masalah ini dapat dieksploitasi untuk mencapai reflected cross-site scripting (XSS), yang berpotensi mengarah ke eksekusi kode berbahaya di sesi browser pengguna.

Selain itu, Taskiran menemukan endpoint yang rentan terhadap Cross-Site Request Forgery (CSRF), serangan di mana pelaku ancaman dapat menipu pengguna untuk mengirimkan tindakan atas nama mereka ke aplikasi web sebagai pengguna tepercaya.

“Endpoint memungkinkan saya menyetel kata sandi baru pada akun yang telah menggunakan aplikasi pihak ketiga untuk mendaftar,” kata pemburu bug itu.

Taskiran dianugerahi hadiah bug bounty sebesar $ 3.860.

Sumber: ZDNet

Cacat Keamanan di Aplikasi Desktop Discord Memungkinkan Peretas Mengambil Alih Sistem

by

Platform perpesanan instan dan VoIP populer, Discord, memiliki kerentanan di aplikasi desktopnya yang terbuka untuk serangan eksekusi kode jarak jauh (RCE). Pertama kali diungkapkan oleh pemburu bug bounty Masato Kinugawa, RCE dapat dieksploitasi untuk mengambil alih komputer korban.

Kinugawa pertama kali mendeteksi kerentanan beberapa bulan lalu dan melaporkannya melalui program bug bounty Discord. Dalam deskripsi detail di blognya, dia mengatakan kerentanan tersebut merupakan kombinasi dari beberapa bug – tidak ada contextIsolation, XSS di sematan iframe, dan bypass pembatasan navigasi.

Penyebab utama bug adalah Electron, kerangka kerja perangkat lunak sumber terbuka yang membantu dalam membuat aplikasi lintas platform menggunakan CSS, JavaScript, dan HTML. Aplikasi perpesanan desktop Discord bukan open source tetapi memiliki kode JavaScript yang digunakan Electron. Kode disimpan secara lokal.

Dia menambahkan bahwa ketika dia mencoba menemukan cara untuk mengeksekusi JavaScript di aplikasi Electron, dia menemukan cacat cross-site scripting (XSS) di iframe. Ini digunakan untuk menyematkan video yang dapat ditampilkan dalam obrolan atau halaman web.

Ketika peneliti memeriksa domain di iframe, dia menemukan Sketchfab yang memungkinkan tampilan konten 3D di halaman web. Meskipun Sketchfab dapat disematkan di iframe, ia menemukan kerentanan XSS berbasis DOM (Document Object Model) di halaman sematan yang dapat disalahgunakan.

Berikut adalah video dimana Masato Kinugawa, dengan menggabungkan tiga bug yang ia temukan, dapat mencapai RCE.

Bug Wormable Apple iCloud Memungkinkan Pencurian Foto Otomatis

by

Sekelompok ethical hackers membongkar infrastruktur dan sistem Apple dan, selama tiga bulan, menemukan 55 kerentanan, beberapa di antaranya akan memberi penyerang kendali penuh atas aplikasi pelanggan dan karyawan.

Sebagai catatan, bug wormable pengambilalihan akun iCloud yang penting akan memungkinkan penyerang mencuri semua dokumen, foto, video korban, dan lainnya secara otomatis.

Penemuan oleh peretas Sam Curry, Brett Buerhaus, Ben Sadeghipour, Samuel Erb dan Tanner Barnes menunjukkan kelemahan utama dalam infrastruktur “besar” perusahaan sementara itu juga memberi penghasilan tim hampir $300.000 hingga saat ini sebagai penghargaan atas upaya mereka, Curry menulis dalam postingan blog yang panjang yang merinci temuan tim.

Di antara kekurangan yang ditemukan di bagian inti infrastruktur Apple termasuk yang memungkinkan penyerang untuk: “sepenuhnya membahayakan aplikasi pelanggan dan karyawan; meluncurkan worm yang mampu secara otomatis mengambil alih akun iCloud korban; mengambil kode sumber untuk proyek internal Apple; sepenuhnya membahayakan perangkat lunak gudang kendali industri yang digunakan oleh Apple; dan mengambil alih sesi karyawan Apple dengan kemampuan mengakses alat manajemen dan sumber daya sensitif,” tulisnya.

Dari 55 kerentanan yang ditemukan, 11 peringkat dengan tingkat keparahan kritis, 29 dengan tingkat keparahan tinggi, 13 dengan tingkat keparahan sedang dan dua dengan tingkat keparahan rendah.

Bug wormable iCloud adalah masalah cross-site scripting (XSS), menurut artikel tersebut. iCloud menyediakan layanan seperti Mail dan Find my iPhone.

“Layanan email adalah platform email lengkap di mana pengguna dapat mengirim dan menerima email yang mirip dengan Gmail dan Yahoo,” jelas Curry. “Selain itu, ada aplikasi email di iOS dan Mac yang diinstal secara default di produk. Layanan email dihosting di www.icloud.com bersama dengan semua layanan lain seperti penyimpanan file dan dokumen.”

Dia menambahkan, “Ini berarti, dari perspektif penyerang, bahwa kerentanan cross-site scripting apa pun akan memungkinkan penyerang untuk mengambil informasi apa pun yang mereka inginkan dari layanan iCloud.”

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Threat Post