Tesztek Android Google Apple Microsoft Samsung Huawei Nokia Linux Biztonság Tudomány Facebook Videojáték Film
ga
/ContentUploads/A739/removed_youtube_video.jpg

Bárki törölhette volna az összes YouTube‑videót

2015.04.03. 00.01
Ugyan még április eleje van, de ennek a hírnek a fele se tréfa. Egy orosz biztonságtechnikai kutató felfedezett egy sebezhetőséget a YouTube rendszerében, amivel bárki törölhette volna akár az összes videót a világ leghíresebb videómegosztó portáljáról. Szerencsére ismét egy jóindulatú (etikus) hackerrel volt dolgunk, így a hibát azonnal jelentette a szolgáltató felé, aki a hibát rövid időn belül orvosolta, és a megtalálót, Kamil Hismatullint 5000 dollárral, körülbelül 1,4 millió forinttal jutalmazta.

Felmerülhet bennünk a kérdés, hogy hogyan derül fény ilyen és ehhez hasonló hibákra. A válaszért nem is kell messzire mennünk, hiszen Kamil Hismatullin beavatott minket a részletekbe. Elmondta, hogy néhány CSRF vagy XSS sebezhetőséget szeretett volna találni a YouTube rendszerében, de váratlanul felfedezett egy logikai hibát, amivel törölhette volna akár az összes videót egyetlen lekérdezéssel/kéréssel.

Ha egy kicsit jobban megnézzük, az eredeti elképzelése nem járt messze a végkifejlettől. A CSRF (Cross-Site Request Forgery) egy oldalon-keresztüli kéréshamisítás, ami logikában csak kicsit tér el a jóindulatú támadó végső megoldásától. Sajnos azzal kellett szembesülnie, hogy a YouTube rendszerét könnyű becsapni és rávenni a videók törlésére. Hismatullin demonstrálta is az általa feltárt hibát ebben a videóban:



A videó rávilágított arra, hogy a YouTube koránt sem sebezhetetlen és senki sem tudja, hogy még mennyi ilyen és ehhez hasonló hiba lehet a rendszerben, amik csak arra várnak, hogy valaki megtalálja őket. Remélhetőleg továbbra is jó indulatú hackerek fedezik fel ezeket, így elkerülve a YouTube esetleges globális összeomlását.

A hacker ezek után elárulta, hogy számára Justin Bieber csatornájának komplett videótára jelentette a legnagyobb kísértést, amit „szerencsére” le tudott küzdeni. Amennyiben törölte volna a csatorna összes videóját, a Google nem fizetett volna a hiba megtalálásáért. A hiba jelentését követően néhány órán belül a Google munkatársai már javították is a sebezhetőséget, így már remélhetőleg senki nem tud visszaélni ezzel.

Ez a sérülékenységi rés, amit Hismatullin használt: https://www.youtube.com/live_events_edit_status_ajax?action_delete_live_event=1

event_id: ANY_VIDEO_ID
session_token: YOUR_TOKEN

A kulcs legfontosabb része a delete_live_event. Ahhoz, hogy letöröljön videókat, ki kellett töltenie a YouTube videó ID-ját, a rendszer pedig anélkül törölte azt, hogy a jogosultságot ellenőrizte volna.

Forrás: latesthackingnews.com

A BKK Mol Bubi adatbázisa is kiszivároghatott
A Facebook el fogja rejteni a másodpercig töltődő weboldalakat
Ilyenek lesznek az idei iPhone‑ok
Firefox Send – A Mozilla bemutatta a legjobb találmányát
3 másodpercenként születik egy új kártevő
A Pál‑völgyi‑barlangrendszerben jártunk – Budapesti programajánló
Felkapott témák
Minden kávát dob a Xiaomi Mi MIX 2
Ilyenek lesznek az idei iPhone-ok
Üveg optikát kap az LG V30
A mesterséges intelligencia szerint Elon Musk veszélyesebb, mint Észak-Korea
Markolászható lesz a Google Pixel 2
Népszerű Chrome-bővítmények 5 millió felhasználó számítógépét fertőzték meg
Állásajánlatok
Railway engineer
Project Manager
Business Support munkatárs
C# fejlesztő - JO-1708-358885
IT Projektvezető
Szoftverfejlesztő
Support munkatárs német/angol/olasz nyelvtudással