Ένα σοβαρό ελάττωμα στο PayPal Holdings Inc, μια αμερικανική εταιρεία η οποία λειτουργεί ένα παγκόσμιο σύστημα online πληρωμών, έχει επιδιορθωθεί. Το ελάττωμα θα μπορούσε να επιτρέψει σε έναν επιτιθέμενο να ξεγελάσει τους χρήστες με σκοπό να αποκαλύψουν τις προσωπικές και τις οικονομικές τους πληροφορίες.
Το ελάττωμα, που ανακαλύφθηκε από τον Ebrahim Hegazy, δημιουργήθηκε από ένα stored cross-site scripting (XSS) bug στο domain του SecurePayments.PayPal.com, το οποίο χρησιμοποιήθηκε ως λύση φιλοξενίας για το PayPal και δίνει την δυνατότητα στους αγοραστές να πληρώσουν με την κάρτα τους ή έναν λογαριασμό PayPal, εξαλείφοντας την ανάγκη να αποθηκεύουν ευαίσθητες πληροφορίες σχετικά με τις πληρωμές τους.
«Βρήκα μια αποθηκευμένη ευπάθεια XSS που επηρεάζει τη σελίδα SecurePayment απευθείας και επιτρέπει να τροποποιήσουμε τη σελίδα HTML και να γράψεις εκ νέου το περιεχόμενο της σελίδας. Ένας επιτιθέμενος μπορεί να παρέχει τα δικά του HTML forms στον χρήστη για να συμπληρώσει και να στείλει τα δεδομένα των χρηστών πίσω στον server του επιτιθεμένου σε μορφή καθαρού κειμένου, κι έπειτα να χρησιμοποιήσει αυτές τις πληροφορίες για να πραγματοποιήσει τις αγορές του εκ μέρους των χρηστών ή ακόμα και να μεταφέρουν τα χρήματα των χρηστών στο δικό τους λογαριασμό», ο ερευνητής αναφέρει σε ένα post στο blog του.
Σύμφωνα με έναν ερευνητή που έχει τη βάση του στην Αίγυπτο, ένας κακόβουλος χρήστης θα μπορούσε να έχει στήσει ένα απατηλό shopping site ή να έχει κάνει hijack ένα νόμιμο website, και να έχει τροποποιήσει το “Checkout” button με ένα URL σχεδιασμένο να εκμεταλλεύεται την ευπάθεια XSS.
Το ελάττωμα θα μπορούσε να επιτρέχει σε έναν επιτιθέμενο να αλλάξει το περιεχόμενο της σελίδας SecurePayments και να εμφανίσει μια σελίδα phishing όπου το θύμα θα καθοδηγείται να εισάγει τις προσωπικές και τις οικονομικές του πληροφορίες. Τα δεδομένα που θα συλλεχθούν θα σταλούν πίσω στον server που ελέγχεται από τον επιτιθέμενο, εξηγεί ο ερευνητής.
Ο ερευνητής, ο οποίος βρήκε το σοβαρό ελάττωμα του Yahoo domain τον προηγούμενο χρόνο, ανέφερε την ευπάθεια αυτή στο PayPal την 19η Ιουνίου. Το PayPal επιβεβαίωσε πως επιδιόρθωσε το ελάττωμα την 25η Αυγούστου.
Μετά από αυτό, η εταιρεία προσέφερε στον Hegazy ως ανταμοιβή $750 δολάρια για τα ευρύματά του, το οποίο λέγεται πως είναι η μεγαλύτερη bounty πληρωμή για ευπάθειες XSS.
