|
Título: Fallo de seguridad en tuenti. Publicado por: WarGhost en 30 Mayo 2012, 18:17 pm Buenos, no se si alguien sabe la dirección de correo electrónico que utiliza la red social tuenti para reportar fallos de seguridad o bien si es como facebook que tiene un sistema de reportes web.
Un saludo y gracias! y si alguien tiene alguna experiencia reportado fallos de seguridad en esta red social... que me comente su experiencia. Gracias un saludo Título: Re: Reportar fallo de seguridad tuenti. Publicado por: el-brujo en 30 Mayo 2012, 18:28 pm Habla con dimitrix:
Tuenti XSS – Zero Day (15/09/2010) http://foro.elhacker.net/nivel_web/tuenti_xss_%E2%80%93_zero_day_15092010-t304961.0.html Deberia publicar una vulnerabilidad muy seria? http://foro.elhacker.net/foro_libre/deberia_publicar_una_vulnerabilidad_muy_seria-t328814.0.html Título: Re: Reportar fallo de seguridad tuenti. Publicado por: WarGhost en 30 Mayo 2012, 18:40 pm Muchas gracias el-brujo, la verdad es como puso lipman en su hilo, me gustaría publicarlo pero no sin antes esperar como mínimo a que este arreglado.
Ahora contactare con dimitrix y que me cuente sus experiencias, que parece que tiene muchas jajaja Título: Re: Reportar fallo de seguridad tuenti. Publicado por: WarGhost en 31 Mayo 2012, 14:49 pm Bueno le pase el error a diminitrix y el contacto con el encargado de seguridad, tambien se lo envié chica de elpais tecnología y ella contacto con tuenti, a las dos horas de hacerlo ya lo arreglaron.
El fallo era un path traversal que te permitía poder leer cualquier fichero del sistema(que tenga permisos claro). Este era el exploit que utlizaba: Código: #!/usr/bin/perl Título: Re: Reportar fallo de seguridad tuenti. Publicado por: tremolero en 31 Mayo 2012, 15:57 pm Oye warghost, una pregunta, como llegaste hasta la vulnerabilidad?
Y como de grave es esta vulnerabilidad? porque te permitia leer archivos que tuviera permisos, pero perfectamente podrias no ver nada, no? Saludos... Título: Re: Reportar fallo de seguridad tuenti. Publicado por: WarGhost en 31 Mayo 2012, 16:05 pm Pues encontré la vulnerabilidad probando, estaba analizando como estaba montada tuenti y bueno salio eso.
La gravedad de este tipo de vulnerabilidades es de las mas altas ya que si no es por un sitio puede ser por otro, se podría llegar a inyectar código php desde el user-agent y /proc/self/environ, también desde las sesiones e inyectar una shell remota, mirar archivos de configuración etc... La verdad una vez encontré la vulnerabilidad simplemente la quise reportar, porque ya sabéis como son estas empresas u.u. En fin... que no venden de que tienen nuestros datos protegidos, pero vamos cuento chino :S. Título: Re: Reportar fallo de seguridad tuenti. Publicado por: tremolero en 31 Mayo 2012, 16:15 pm ay va!, xD pues es mas grave esa vulnerabilidad de lo que yo pensaba.
Pues si, hicistes bien en reportar, que seguro que llamas para decir que has encontrado un fallo y te meten en la carcel xD buff... llevo mucho tiempo perdido, me voy a tener que poner manos a la obra ^^. Por cierto, no te pueden considerar una amenaza al analizar como ellos tienen montado tuenti? mas que nada para prevenir ante cualquier problema ^^. Saludos... |