ce n'est pas du phishing. Le lien ne redirigeait pas vers un autre serveur (un serveur des attaquants ou déjà corrompu par ces derniers par exemple). Cela redirigeait vers le serveur Apache lui-même. Il y a apparemment une faille de cross scripting (script croisé serait une trad adéquate) dans le logiciel Jira qui — à une certaine page — accepte donc un script externe en url (le post n'en dit pas plus sur ce point, mais j'imagine car ils l'ont rapporté à Atlassian et la faille exacte ne sera divulguée qu'une fois corrigée).
En gros, pour expliquer, dans l'url même, ils ont écrit un script (dans une quelconque variable probablement) — ce pourquoi le tinyurl était notamment intéressant pour cacher la longueur de l'url fort probablement, ainsi que son contenu évidemment aussi bien que, redirigeant sur Jira, ça puisse ne pas éveiller de soupçon sur un rapide coup d'œil — puis ce script a donc été intégré dans la page web comme s'il faisait partie normale du site, et donc le script avait accès au cookie de session. Le navigateur n'a donc aucune raison de refuser à ce script d'accéder au cookie de session correspondant à l'url du bugtracker Apache a priori. Ce pourquoi je pense que même Firefox ferait l'erreur. D'ailleurs les gars de la fondation Apache ne donnent pas de détails sur les navigateurs touchés ou non, donc je pense que tous le sont.
Le seul truc que peut faire le navigateur, c'est détecter un comportement étrange et peut-être générer un avertissement, j'imagine. En effet, comme le script est côté client, le navigateur voit peut-être qu'il est intégré de l'url (mais ce n'est pas sûr, ça doit dépendre comment il est intégré, si l'intégration est en PHP, elle est faite par le serveur à partir de l'url).
Enfin bon... le bug vient de Jira, pas du navigateur en l'occurrence (même si ces derniers peuvent peut-être être améliorés pour détecter des comportements étranges et des failles potentielles).
Bye.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]
[^] # Re: Mesures anti-phishing.
Posté par Jehan (site web personnel, Mastodon) . En réponse au journal Des serveurs de la fondation Apache compromis à cause d'un tinyurl, entre autre.. Évalué à 7.
ce n'est pas du phishing. Le lien ne redirigeait pas vers un autre serveur (un serveur des attaquants ou déjà corrompu par ces derniers par exemple). Cela redirigeait vers le serveur Apache lui-même. Il y a apparemment une faille de cross scripting (script croisé serait une trad adéquate) dans le logiciel Jira qui — à une certaine page — accepte donc un script externe en url (le post n'en dit pas plus sur ce point, mais j'imagine car ils l'ont rapporté à Atlassian et la faille exacte ne sera divulguée qu'une fois corrigée).
En gros, pour expliquer, dans l'url même, ils ont écrit un script (dans une quelconque variable probablement) — ce pourquoi le tinyurl était notamment intéressant pour cacher la longueur de l'url fort probablement, ainsi que son contenu évidemment aussi bien que, redirigeant sur Jira, ça puisse ne pas éveiller de soupçon sur un rapide coup d'œil — puis ce script a donc été intégré dans la page web comme s'il faisait partie normale du site, et donc le script avait accès au cookie de session. Le navigateur n'a donc aucune raison de refuser à ce script d'accéder au cookie de session correspondant à l'url du bugtracker Apache a priori. Ce pourquoi je pense que même Firefox ferait l'erreur. D'ailleurs les gars de la fondation Apache ne donnent pas de détails sur les navigateurs touchés ou non, donc je pense que tous le sont.
Le seul truc que peut faire le navigateur, c'est détecter un comportement étrange et peut-être générer un avertissement, j'imagine. En effet, comme le script est côté client, le navigateur voit peut-être qu'il est intégré de l'url (mais ce n'est pas sûr, ça doit dépendre comment il est intégré, si l'intégration est en PHP, elle est faite par le serveur à partir de l'url).
Enfin bon... le bug vient de Jira, pas du navigateur en l'occurrence (même si ces derniers peuvent peut-être être améliorés pour détecter des comportements étranges et des failles potentielles).
Bye.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]