Previous Story
Condamnation pour utilisation d’une faille XSS
Pour avoir utilisé une faille de type XSS, un internaute Français condamné 3.000 euros d’amende.
Voilà qui est intéressant, d’autant plus que la faille baptisée XSS, 3ème du top 10 de la fondation Owasp des vulnérabilités les plus présentes dans les applications web, est largement exploitée sur le réseau des réseaux.
L’affaire vient d’être jugée par le Tribunal de Grande Instance de Paris. Tout a débuté, comme le rappel Legalis, avec l’affaire d’un faux site officiel de la députée-maire du VIIème arrondissement de Paris, Rachida Dati. Les auteurs étaient avant tout jugés pour usurpation d’identité numérique.
Le 18 décembre 2014, le TGI de Paris, a condamné l’auteur du site à 3 000 € d’amende. Là ou le jugement est intéressant est qu’il a aussi été condamné, il a fait appel, pour introduction frauduleuse de données dans un système d’information. Cette introduction via une vulnérabilité de type XSS permanente qui a permis de lancer le faux site de la Députée. Pour rappel, la loi française rappelle que « le fait d’introduire frauduleusement des données dans un système de traitement automatisé ou de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 75000 euros d’amende. »
Alors qu’une faille XSS (Cross-Site Scripting) réclame la plupart du temps de cliquer sur un lien [Voir exemples : Assemblée Nationale Française, DLL Files, Pharmacies en ligne, ndlr), le cas du site de Mme Dati était que la dite faille était persistante. Bilan, les internautes pensant être sur le site parodique se trouvait à diffuser leurs textes sur le site officiel. Le tribunal a expliqué que même si la faille était connue depuis des semaines, ce n’était pas une raison pour l’exploiter.
« Le tribunal a expliqué que même si la faille était connue depuis des semaines, ce n’était pas une raison pour l’exploiter. »
Cela peut être une bonne raison pour la corrigée par contre…
Excellent article.
Petite explication tout de même pour les lecteurs. Il est dit ici que : « Alors qu’une faille XSS (Cross-Site Scripting) réclame la plupart du temps de cliquer sur un lien … ».
hm! Oui mais pas tout à fait. En fait pour être clair, une faille XSS offre la possibilité d’injecter du contenu dans une page, permettant ainsi de provoquer des actions sur les navigateurs web visitant la page. Lorsque ce contenu contient du code actif (javascript, flash, …etc) bonjour les dégats.
Maintenant la nécessité de cliquer ou non sur un lien pour activer la faille XSS dépendra de l’utilisation faite des données du formulaire vulnérable à cette faille. Si ces données sont vouées à être stockées (exemple des formulaires d’envoi par méthode POST) ou surtout ré-affichées (par exemple une vulnérabilité XSS sur un champ de commentaire comme celui sur cette page 🙂 )alors là on aura de la persistance. C’est à dire que le code actif s’executera à chaque fois qu’un visiteur se rendra sur la page exploité. Par contre si c’est une donnée non stockée et/ou utilisée pour la navigation (exemple des formulaires d’envoi par methode GET) on aura moins de chance d’avoir à faire à une faille XSS persistante. Dans ce cas de figure le pirate aura alors besoin de pousser la victime à visiter la page vulnérable en prenant soin de modifier les paramètres vulnérables du lien vers cette page. La méthode GET étant habituellement plus utilisée que la méthode POST sur la majorité des sites web, ceci explique pourquoi : « une faille XSS [..] réclame la plupart du temps de cliquer sur un lien ». Mais en aucun cas il ne s’agit d’une caractéristique inhérente à son fonctionnement comme vous pouvez le constater.
Voilà, c juste pour faire genre « j’ai participé ».