Deezer corrige une vulnérabilité à pirate

Il y a quelques jours, le portail musical Deezer a corrigé une faille plutôt génante pour son service et ses clients.

Un internaute, que nous appellerons Michel, a découvert une vulnérabilité qui permettait d’accèder aux cookies des internautes connectés. La faille, un XSS, un Cross-Site Scripting. Pour rappel, ce genre de faille est considéré par l’OWASP, entité dédiée à la sécurité informatique mondiale, comme étant le 3ème problème le plus souvent rencontré dans les applications web. Un XSS permet d’afficher une fausse page, voler le cookie de connexion, injecter du code malveillant dans l’ordinateur d’un visiteur, de créer un XSS Shell, …

Plus grave pour Deezer, le CSS était permanent ce qui veut dire qu’un surfeur n’avait pas besoin de recevoir un courriel et cliquer sur un lien particulièrement formulé, et transportant le code malveillant, pour lancer une action pirate. Il n’avait qu’à visiter une playlist Deezer piégée pour actionner le code pirate. Une fois le cookie en main, le malveillant aurait pu le réutiliser très facilement. Deezer, via l’équipe Sécurité d’Orange a très rapidement pris la chose en main et à corrigé en moins de 24 heures après notre protocole d’alerte dédié.

L’inventeur de la faille aurait pu être un vrai voleur « Dans ma démonstration, j’ai pu intercepter plus de 15.000 cookies en quelques heures, indique le jeune homme à la rédaction de zataz.com. Cela tournait à une moyenne de 40 cookies par minute« . Un pirate aurait pu trouver un moyen de récupérer et exécuter un script à distance, ce qui lui aurait permis d’échapper à la limite de caractère imposée par Deezer. Un vrai worm, un ver informatique, qui se serait transféré de compte en compte « mais mon but n’étais pas malveillant » termine Michel.

Pendant ce temps…

Quelques jours plus tard, une autre attaque a visé Deezer. D’après les informations diffusées sur Twitter par l’équipe du portail musical, des attaques DDoS ayant eu pour mission de bloquer la diffusion de musique aux clients. Comme l’explique Le Point, une pré-attaque avait été menée quelques heures auparavant « La première attaque mineure a été localisée dans la matinée de vendredi, mais n’a pas eu d’impact sur le service« , précise au journal Daniel Marhely de Deezer.