Faille XSS sur Hadopi.fr, une négligence caractérisée bientôt corrigée

Faye

Une première faille vient d’être trouvée sur le site d’Hadopi.fr. « Le site Hadopi.fr étant sorti depuis quelques jours (enfin !) il était trop tentant de ne pas essayer de réitérer le message en cherchant de petites choses sur un site relativement bien sécurisé parce que tout en statique ! » explique Paul da Silva, nouveau représentant du Parti Pirate, pour qui « la négligence caractérisée est une belle fumisterie impossible, même pour une société comme Extelia », l'éditeur d'Hadopi.fr

L’intéressé pointe du coup une faille XSS (cross-site scripting) qui se nichait dans le formulaire de contact. Une faille « à peine exploitable » concède Paul da Silva qui permettait cependant de déclencher une alerte Javascipt. « En soi, ça ne présente aucun intérêt, mais il est possible de remplacer le code alert(1) par quelque chose de plus agressif (comme les fameux XSS de twitter il y a quelques jours) ». Conformément aux règles de l’art, la Hadopi a été avertie de cette « négligence caractérisée » et Hadopi a pris les devants pour corriger la faille : « on en revient donc à la solution ultime : pour sécuriser votre connexion débranchez votre box ! » (un conseil donné par le secrétaire général de l'autorité)

Marc Rees

Journaliste, rédacteur en chef

Twitter

Le 4 octobre 2010 à 10:51 (31 189 lectures)

Actu Précédente Actu Suivante

Il y a 76 commentaires

INpactien

jackjack Le lundi 4 octobre 2010 à 18:48:31 #51

Inscrit le jeudi 20 mai 10 - 677 commentaires

jpriton a écrit :

Quel intérêt de modifier un message d'alerte JavaScript lorsqu'on sait pertinemment que celui-ci est exécuté sur le poste client?

C'est à dire sur son propre poste et pas ailleur

A part peut être vouloir péter plus haut que son cul

Toi c'est pas le première fois que je te prends à dire des conneries

INpactien

Commentaire_supprime Le lundi 4 octobre 2010 à 19:46:10 #52

Inscrit le vendredi 31 octobre 08 - 24523 commentaires

saga9 a écrit :

Je t'invites à rechercher le terme "XSS".

Pour les deux dernières lettres de cette abréviation, c'est tout le portrait de cette haute autorité...

--------------------------- et merde, il pleut ! -------------------------------> []

INpactien

cob59 Le lundi 4 octobre 2010 à 19:58:13 #53

Inscrit le vendredi 23 octobre 09 - 201 commentaires

Vous faîtes vraiment toute une montagne d'une taupinière.

La faille XSS présente sur hadopi.fr ne correspond qu'à un défaut minime dans l'interface utilisateur (voilà ce qui arrive quand on n'utilise pas Flash...). A ce compte, la sécurisation du site "côté serveur" n'est pas affectée.

Mais surtout, quel rapport entre une vulgaire faille de formulaire sur un site internet, et le fait qu'un particulier laisse sa *Box sans password et ouverte aux détournements ? Aucun.

INpactien

Z-os Le lundi 4 octobre 2010 à 20:00:42 #54

Inscrit le lundi 27 avril 09 - 805 commentaires

Je m'amuse à changer le captcha plusieurs fois de suite http://hadopi.fr/contact.php). résultat :

Forbidden

You don't have permission to access /contact.php on this server.

INpactien

jackjack Le lundi 4 octobre 2010 à 20:03:35 #55

Inscrit le jeudi 20 mai 10 - 677 commentaires

Ça sent le

INpactien

Manu114 Le lundi 4 octobre 2010 à 20:33:38 #56

Inscrit le lundi 3 mai 10 - 464 commentaires

j'aime bien les 3 cas pour les contacter :

Je souhaite signaler une erreur sur le site.
Je suis parlementaire ou élu local, je souhaite des informations spécifiques.
Je suis journaliste, je souhaite d'autres informations que celles présentes dans la rubrique presse.

Et moi je peu pas les contacter ? :(

INpactien

Jarodd Le lundi 4 octobre 2010 à 21:27:03 #57

Inscrit le mardi 26 octobre 04 - 18356 commentaires

Faildopi

INpactien

illustreanonyme Le lundi 4 octobre 2010 à 23:10:26 #58

Inscrit le mercredi 18 février 09 - 1262 commentaires

Hadopi a des failles ?

elle a qu'à se faire tirer...
la peau !

Ok je sors

INpactien

luke42410 Le lundi 4 octobre 2010 à 23:35:35 #59

Inscrit le lundi 2 août 10 - 12 commentaires

Ils ont pensé à mettre un code Captcha sur leur formulaire maintenant

Connaisent-t-ils les failles par injections SQL ? sur contact.php ?

J'ai pas trop le temps de m'y mettre :s

INpactien

-Gui- Le lundi 4 octobre 2010 à 23:44:15 #60

Inscrit le mardi 26 juillet 05 - 310 commentaires

cob59 a écrit :

Je pense qu'il suffit de mettre un petit js perso en ligne, modifier un peu l'injection de code et on peut faire télécharger une tonne de MP3 illégaux dans les fichiers temporaires de ton navigateur (donc sur ton disque dur) avec une page qui affiche le site hadopi...

Il n'est plus possible de commenter cette actualité

Vous devez être connecté ou vous inscrire en haut pour pouvoir participer aux commentaires.