Niebezpiecznik

Zła passa Grupy Allegro chyba trwa. Najpierw kilkugodzinna awaria w serwerowni, potem wyciek danych z serwisu BuyVIP (obecnie Markafoni), a teraz błąd programistyczny pozwalający przejąć kontrolę nad kontami użytkowników serwisu Tablica.pl.

Tablica.pl i przejęcie konta użytkownika

Tablica.pl to serwis z ogłoszeniami, wcześniej znany jako Szerlok.pl. Najpierw należał do właścicieli Wykop.pl, teraz jest własnością Grupy Allegro.

O błędzie w Tablica.pl poinformował nas czytelnik Xandersky. Zauważył on, że jeśli użytkownik serwisu odpisze na przesłaną mu wiadomość, to w treści odpowiedzi, która przychodzi jako e-mail pojawia się link, który po kliknięciu automatycznie loguje nas na konto naszego rozmówcy.

Tablica.pl - powiadomienie e-mailem o nowej odpowiedzi zawiera link automatycznie logujący do konta naszego rozmówcy

Wysłanie pierwszej wiadomości. Link, który przychodzi, poprawnie loguje nas na nasze własne konto:

Tablica.pl - zalogowany jako użytkownik A.

Jeśli właściciel ogłoszenia odpowie na naszą wiadomość, system nieprawidłowo generuje link, który po kliknięciu automatycznie daje nam dostęp do konta właściciela ogłoszenia:

Tablica.pl - zalogowany jako właściciel ogłoszenia (użytkownik B)

Z kontem właściciela ogłoszenia można było zrobić wszystko — od zmiany e-maila, poprzez zmianę hasła (system nie wymaga podania poprzedniego), aż do usunięcia konta (wystarczy wcisnąć przycisk usuń konto), czy podejrzenia lub podmiany danych kontaktowych.

Tablica.pl - zmiana hasła, wystarczy podać nowe, żeby odciąć użytkownika od jego konta.

Błąd poważny, ale czy straszny?

Dla potencjalnego atakującego przejęcie czyjegoś konta na Tablica.pl nie będzie wielkim łupem — nic poza adresami e-mail, numerami GG czy Skype tam nie znajdziemy. Złośliwy atakujący mogłby jednak pokusić się o modyfikację treści lub skasowanie aukcji albo inne dowcipy (czy dałoby radę przechwycić zakupiony przedmiot?).

Tomasz Drożdżyński z serwisu Tablica.pl szybko odpowiedział na przesłane do serwisu pytania:

Czy uważacie Państwo w/w mechanizm komunikacji jako poprawny?
Sam mechanizm, w którym kliknięcie linka powoduje automatyczne zalogowanie, jest w naszej ocenie jak najbardziej poprawny. Ponieważ Tablica.pl nie bierze udziału w transakcjach, nie przechowuje wrażliwych danych, a nieuprawniony dostęp nie może wyrządzić żadnych szkód, postawiliśmy na absolutną prostotę i nie zachęcamy użytkowników do rejestrowania konta oraz zapamiętywania hasła. Swoje konto można obsługiwać poprzez kliknięcie linka w mailu.
Nie powinna jednak zdarzyć się sytuacja, że kliknięcie w link loguje nas na konto kogoś innego, to oczywiście błąd, za który przepraszamy.

Kiedy błąd zostanie poprawiony?
Błąd został naprawiony dziś przed południem [dziś == 14.09.2011 — dop. red. Artykuł publikujemy z opóźnieniem].

Jakie akcje w systemie może wykonać osoba, która wejdzie za pomocą w/w linków na nie swoje konto?
Może usunąć ogłoszenie, zmienić opis lub wystawić nowe. Można też zobaczyć odpowiedzi innych użytkowników na dane ogłoszenie. Żadna z tych czynności nie wiąże się z poważnymi konsekwencjami, natomiast błąd o którym mówimy, mógłby posłużyć do zrobienia komuś dowcipu.

Od jak dawna ten błąd istniał w systemie?
Błąd istniał od 13 września od godziny 14:00.

Sam błąd, który umożliwiał przejęcie konta użytkownika na Tablica.pl należy zaliczyć do zwykłych pomyłek programistycznych. Jednakże, w obliczu tego błędu warto przypomnieć to, o czym mówimy na naszych szkoleniach z bezpieczeństwa webaplikacji — przesyłanie tokenów sesyjnych w URL-ach może i ułatwia logowanie do serwisu, ale pod kątem bezpieczeństwa nie jest dobrym pomysłem (hint: ujawnienie tokenu np. poprzez nagłówek Referer, ułatwienie ataków typu Session Fixation). Warto również kolejny raz wspomnieć o dodatku Firesheep do Firefoksa, jeśli ktoś uważa, że brak szyfrowania połączeń w przypadku tokenów sesyjnych to dobry pomysł…

Na koniec warto zauważyć, że nie “niebezpieczny” sposób przesyłania tokenu był dla Tablica.pl głównym problemem, a to, że na skutek pomyłki programisty linki z tokenami sesyjnymi trafiały do złych osób.

Przeczytaj także:

• * Ekiosk.pl hackowany? Możliwy wyciek danych klientów
• Poważny błąd w Allegro umożliwiał poznanie haseł użytkowników!
• Błąd w OLX.pl pozwala na przejęcie konta użytkownika (aplikacją mobilną na Androida)