POET automatise l'exploitation d'une vulnérabilité de la plateforme de développement JavaServer Faces

Par Xavier Poli, secuobs.com
Le 09/06/2010

---

Résumé : POET (Padding Oracle Exploitation Tool) automatise l'exploitation d'une vulnérabilité liée aux applications Web reposant sur la plateforme de développement JavaServer Faces. Les impacts sont des fuites d'informations sensibles, voir le contournement de CAPTCHA et l'exécution de codes arbitraires. - Lire l'article



Publié par l'équipe de Netifera ( lien ), POET (Padding Oracle Exploitation Tool) est un outil qui automatise l'exploitation d'une vulnérabilité commune aux applications Web reposant sur la plateforme de développement JavaServer Faces ( JSF - lien ). Sans nécessiter la clé de chiffrement utilisée, POET permet de récupérer en clair les informations privées (traces d'achat, préférences) des sessions utilisateurs de services en ligne sensibles comme des banques ou des sites de E-Commerce.

POET inclut une interface graphique et s'avère compatible avec Microsoft Windows, Mac OS X et GNU/Linux. La vulnérabilité ici exploitée trouve son origine dans une mauvaise implémentation du mode de chiffrement par bloc ( CBC - lien ) caractérisée par l'absence de mécanismes d'authentification et de signature pour vérifier l'intégrité des données chiffrées. De nombreuses implémentations sont vulnérables et notamment Apache MyFaces ( lien ) et Sun Mojarra ( lien ).

A savoir que dans ce mode de chiffrement, chaque bloc individuel doit présenter une même longueur définie selon la taille de la clé utilisée. Le bloc final doit donc habituellement être rempli avec des octets additionnels afin de valider cette condition. Après avoir modifier aléatoirement le dernier bloc et envoyer au serveur les informations chiffrées sous une forme invalide, un attaquant va dès lors pouvoir utiliser les messages d'erreur en résultant afin d'obtenir des parties en clair.

La technique utilisée peut par ailleurs être appliquée afin de solutionner des tests de turing type CAPTCHA ( lien ), une version avancée permettrait même l'exécution de code arbitraire afin de compromettre le serveur sous-jacent. Les chercheurs ont également tenu à mettre en avant que l'utilisation de motifs spécifiques de recherche au sein d'un moteur comme Google pouvait permettre d'identifier un grand nombre de cibles s'avérant vulnérables à ce type d'attaque.

Vidéo de démonstration - Padding Oracle Exploit Tool vs Apache MyFaces



Vidéo - Cracking CAPTCHA with Padding Oracle attack



Télécharger POET ( lien )
Blackhat Europe 2010 - PDF – Whitepaper - Practical Oracle Padding Attack ( lien )
Blackhat Europe 2010 - PDF – Slides - Practical Oracle Padding Attack ( lien )

Source : Packet Storm Security Last Files ( lien )