0899379170 code service 92829 *
BREAKING NEWS

Méfiez-vous du cache des sources des articles de Wikipedia

La rédaction de zataz a pu constater une faille de type XSS (Cross-Site Scripting) sur le site gérant le cache des sources sur les articles de Wikipedia. Prudence, une action pirate peut s’y cacher.

Mise à jour 10/02/2016 : Nous venons de recevoir un courriel nous confirmant que la faille avait été corrigée le 1er juillet 2015. Autant dire, vite et bien.

En effet, lors de la création ou de la modification d’un article Wikipedia, des sources sont demandées impérativement afin de permettre à l’équipe de Wikipedia de vérifier le contenu des articles. Mais ces sources ont un autre rôle, celui de pouvoir aider le lecteur à vérifier ce qu’il est en train de lire.

Afin de conserver ces sources, Wikipedia s’assure de faire une « copie » (un cache) de la source et de la rendre visible à tout le monde. Une solution qui permet la consultation des dites sources, même si elles ont été supprimées. Il a été découvert une faille de type XSS dans le site gérant ces caches.

Les XSS sont classés comme la 3ème plaie des applications Web par l'OWASP.

Les XSS sont classés comme la 3ème plaie des applications Web par l’OWASP.

Via les pages Wikipedia, il est donc possible d’avoir accès aux sources utilisées par les auteurs de l’article, ainsi qu’à leur cache (via l’onglet « [archives] » disponible à côté des liens, NDLR). Après la modification de la variable « url » présente dans le lien, un malveillant peut injecter du code Javascript. Une « simple » redirection pourrait piéger les visiteurs Wikipedia. Ces derniers se retrouveraient alors redirigés vers des sites malveillants (phishing, Java Drive By, etc).

Wikiwix, en charge de cette sauvegarde, a été contacté par un protocole d’alerte zataz (n’50924). En attendant une correction qui devrait être rapide [Mise à jour : elle l’aura été en quelques heures, NDR], il est conseillé de regarder à deux fois les liens proposés. (Conslight)

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ - Journaliste - Spécialiste des sujets liés à la Cyber Sécurité depuis plus de 20 ans. Premier article en 1989 dans le mensuel "Amstar & CPC". Fondateur de ZATAZ, ZATAZWEB.tv & datasecuritybreach.fr. Officie/a officié dans de nombreux journaux et magazines (Europe 2, 01net, La Voix du Nord, Tilt, Entrevue, l'Echo des Savanes, Le Canard Enchaîné, France 3, ...). Auteurs et coauteurs de 6 livres dont "Pirates & hackers sur Internet" (Ed. Desmart) ; "Hacker, le 5ème pouvoir" (Ed. Maxima). Intervenant pour la Licence professionnelle Collaborateur pour la Défense et l'Anti-Intrusion des Systèmes Informatiques (CDAISI) de l'Université de Valenciennes ; pour l'Ecole Européenne de Guerre Economique de Versailles. Réserviste Cyber Défense.

Articles connexes

Laisser un commentaire

*