Gagner 330 millions de wons en piratant Apple pendant 3 mois

 (samcurry.net)
8 points par xguru 2020-10-09 | 1 commentaires | Partager sur WhatsApp

Récapitulatif détaillé de l’opération de hacking menée à grande échelle par cinq ingénieurs dans le cadre du programme de bug bounty d’Apple

→ 32 vulnérabilités découvertes, pour un total de 288500 $ (330 millions de wons) de récompenses

  • L’infrastructure d’Apple est gigantesque. L’entreprise possède l’ensemble de la plage IP 17.0.0.0/8 et dispose de 25000 serveurs web.

  • 10000 sont liés à apple.com, les autres couvrent 7000 domaines uniques (y compris le domaine .apple)

La plage IP, ainsi que les domaines apple.com et iCloud, ont été pris pour cibles principales dans une campagne de brute forcing de répertoires

Cela a permis de mieux comprendre le fonctionnement de l’authentification et des autorisations chez Apple, ainsi que ses applications clients/employés, ses intégrations et ses outils de développement

Parmi les vulnérabilités ainsi découvertes, 12 sont listées et expliquées

  1. Compromission complète du programme Apple Distinguished Educators via contournement de l’authentification et des autorisations

  2. Compromission complète de l’application DELMIA Apriso via contournement de l’authentification

  3. Des vulnérabilités de type Stored Cross-Site Scripting propagables permettent à un attaquant de voler des données iCloud via un e-mail modifié

  4. Injection de commandes dans Author’s ePublisher

  5. SSRF avec réponse complète sur iCloud permettant à un attaquant de récupérer le code source d’Apple

  6. Accès au panneau d’administration debug de Nova via fuite d’erreur REST

  7. Clés secrètes AWS via XSS dans les bannières iTune PhantomJS et les titres de livres

  8. Heap dump sur Apple eSign permettant à un attaquant de compromettre divers outils externes de gestion des employés

  9. Traitement d’entités externes XML menant à une Blind SSRF sur l’API de gestion Java

  10. Injection SQL sur GBI Vertica et API GSF exposée

  11. Diverses vulnérabilités IDOR

  12. Diverses vulnérabilités Blind XSS

La rédaction et la publication de cet article ont également été autorisées par l’équipe sécurité d’Apple. (Ces vulnérabilités ont déjà toutes été corrigées.)

À lire aussi

1 commentaires

 
xguru 2020-10-09

Le texte indique qu’ils avaient reçu 51 500 $ au 4/10, mais après la publication de l’article, Apple les a contactés.

L’entreprise a accordé en plus 237 000 $ de prime pour un total de 28 vulnérabilités, ce qui porte le montant total à 288 500 $.

https://twitter.com/samwcyo/status/1314310787243167744

Comme ils étaient cinq, cela fait environ 60 millions de wons par personne, soit un travail payé 20 millions de wons par mois.

Décidément, même chez Apple, les problèmes de XSS sont nombreux.