5 Hébergeurs concernés par plusieurs vulnérabilités

Un chercheur a découvert plusieurs vulnérabilités chez des hébergeurs très populaires. Des millions de client de ces hébergeurs ainsi que les milliards de visiteurs qui accèdent à ces sites étaient vulnérables.

Le chercheur indépendant et bug-hunter, Paulos Yibelo, a trouvé une douzaine de vulnérabilités chez les hébergeurs Bluehost, Dreamhost, HostGator, OVH et iPage. Plus de 7 millions de domaines sont concernés.

Certaines vulnérabilités sont simples à exploiter car elle requiert seulement que les victimes cliquent sur un lien ou visitent un site infecté pour que leur compte soit compromis.

Failles Critiques chez des Hébergeurs Populaires

Yibelo a testé 5 hébergeurs et a trouvé plusieurs failles concernant des account takeover, cross-scripting(XSS) et des divulgations d’information. Il a tout documenté sur le blog Website Planet.

1. Bluehost—l’entreprise qui appartient à Endurance qui possède aussi Hostgator et iPage. Ces trois hébergeurs abritent plus de 2 million de sites dans le monde. Bluehost était vulnérable face aux:

• Fuites d’informations dues à des mauvaise configuration de cross-origin-resource-sharing (CORS)
• Account takeover à cause de mauvaise validation de requête JSON (CSRF-Cross Site Request Forgery)
• Une attaque Man-in-the-middle peut être effectué à cause de validation incorrect de CORS
• Une faille XSS (Cross-site scripting) sur my.bluehost.com

2. Dreamhost—l’hébergeur qui abrite environ un million de domaines n’avait qu’une seule faille:

• Account takeover en utilisant une faille cross-site scripting (XSS)

3. HostGator

• un by-pass de la protection CSRF permet un contrôle complet
• Mauvaise configuration de plusieurs CORS qui cause une fuite d’information et une faille CRLF(Carriage Return Life Feed)

4. OVH Hosting—l’entreprise française abrite 4 millions de domaines dans le monde:

• By-pass de protection CSRF
• API mal configuré

5. iPage Hosting

• Account takeover
• Plusieurs by-pass de Content Security Policy (CSP)

Démonstrations Vidéos

Yibelo a révélé qu’il a eu besoin d’une heure en moyenne sur chacun des 5 hébergeurs pour trouveur au moins une vulnérabilité account takeover côté client. En utilisant seulement Burp Suite et des plugins du navigateur Firefox.

Parmi les hébergeurs concernés, Yibelo a trouvé que Bluehost, HostGator et iPage sont les plus faciles à pirater. Cependant, HostGator inclut plus de couches de sécurité que les deux autres.

Yibelo a reporté ses trouvailles à tout ces hébergeurs. Ils ont tous patché leurs services avant la divulgation de cette information sauf OVH.

Si cet article vous a plu, jetez un œil à notre précédent article.