Νέα μέθοδος XSS απειλεί την ασφάλεια χρηστών μέσω OAuth

Αν και οι επιθέσεις δέσμης ενεργειών (XSS) μπορεί να έχουν μειωθεί τα τελευταία χρόνια, οι ερευνητές παρουσίασαν μια νέα μέθοδο που επιτρέπει σε χάκερς να κλέβουν credentials από τις συνεδρίες των χρηστών.

Η εταιρεία ασφαλείας API Salt Security ανακάλυψε πως η τεχνική XSS μπορεί να συνδυαστεί με άλλες τεχνολογίες όπως το OAuth για την απόσπαση δεδομένων χρηστών.

Σε μια επίθεση, κατάφεραν να αποκτήσουν tokens συνεδρίας, παρά την προστασία HTTP-Only, σε γνωστό ιστότοπο. Η XSS επιτρέπει στους επιτιθέμενους να εκτελούν κακόβουλο JavaScript στον περιηγητή του θύματος, αποκτώντας πρόσβαση σε ευαίσθητα δεδομένα.

Η πλατφόρμα ανάλυσης Hotjar, που χρησιμοποιείται από μεγάλα brands όπως Microsoft, Adobe και T-Mobile, ήταν ευάλωτη σε μια τέτοια επίθεση. Οι επιτιθέμενοι εκμεταλλεύτηκαν τη λειτουργία κοινωνικής σύνδεσης του Hotjar, χρησιμοποιώντας κακόβουλο URL για να ξεκινήσουν μια νέα διαδικασία σύνδεσης μέσω OAuth και να διαβάσουν το μυστικό token που παράγει η Google κατά την επαλήθευση. Αυτό τους επέτρεψε να αποκτήσουν πρόσβαση σε λογαριασμούς χρηστών, συλλέγοντας ευαίσθητα δεδομένα, όπως ονόματα, email, μηνύματα και τραπεζικές πληροφορίες.

Το πρόβλημα διορθώθηκε μετά την υπεύθυνη κοινοποίηση, αλλά η απειλή παραμένει, και φαίνεται πως αναμένεται νέο report από τη Salt Labs για άλλες εταιρείες που επηρεάζονται από παραλλαγές αυτής της επίθεσης (όπως η νέα μέθοδος συνδυσμού XSS και OAuth) και συγκεκριμένα για μια γνωστή και ελαφρώς διαφορετική επισημαίνοντας τη συνεχή απειλή της XSS στην ασφάλεια των ιστότοπων.