Yahoo otorgó 7,000$  al investigador de seguridad Michael Reizelman, también conocido como mishre, por la vulnerabilidad de secuestro (hijacking) de cuenta de Flickr (propiedad de Yahoo). Reizelman es un popular buscador de fallos que descubrió vulnerabilidades en muchos servicios web, incluyendo Badoo, Dropbox, GitHub, Google, Imgur, Slack, Twitter y Uber.





El experto ha descubierto tres vulnerabilidades en la imagen de la empresa y el servicio de alojamiento de video que podría haber sido encadenado para tomar las cuentas de Flickr.

• http://blog.mish.re/index.php/2017/04/29/yahoo-bug-bounty-chaining-3-minor-issues-to-takeover-flickr-accounts/

Reizelman descubrió que cada vez que un usuario inicia sesión en su cuenta Flickr.com, es redirigido al dominio login.yahoo.com utilizado para la autenticación.

Debajo de la URL utilizada para redirigir al usuario:

Https://login.yahoo.com/config/login?.src=flickrsignin&pc=8190&.scrumb=0&.pd=c%3DH6T9XcS72e4mRnW3NpTAiU8ZkA--&.intl=il&.lang=en&mg=1&.done=https% 3A% 2F% 2Flogin.yahoo.com% 2Fconfig% 2Fvalidate% 3F.src% 3Dflickrsignin% 26.pc% 3D8190% 26.scrumb% 3D0% 26.pd% 3Dc% 253DJvVF95K62e6PzdPu7MBv2V8-% 26.intl% 3Dil% 26.done % 3Dhttps% 253A% 252F% 252Fwww.flickr.com% 252Fsignin% 252Fyahoo% 252F% 253Fredir% 253Dhttps% 25253A% 25252F% 25252Fwww.flickr.com% 25252F

El usuario proporciona sus credenciales y si son válidas, es redirigido de nuevo a Flickr.com y autenticado con la siguiente URL:

Https://www.flickr.com/signin/yahoo/?redir=https%3A%2F%2Fwww.flickr.com%2F&.data={first-token-value}&.ys={second-token-value }

El investigador también observó que el usuario es redirigido en segundo plano a login.yahoo.com si ya está conectado,

La solicitud de login.yahoo.com se utiliza para obtener un token de acceso para el usuario.

Reizelman descubrió que es posible manipular un parámetro llamado '.done' que se utiliza para controlar dónde se envía el token de inicio de sesión.

Yahoo sólo comprueba que el token sólo se podría enviar al dominio flickr.com.

"Lo primero que he notado es que el segundo parámetro .done puede ser manipulado. Este parámetro controla realmente dónde se envían los tokens de inicio de sesión. Parece que los servidores de Yahoo sólo verifican que comience con https://www.flickr.com/signin/yahoo/ pero todavía podemos añadir .. / por lo que si añadimos ../../test al valor original .done Los tokens .ys y .data se enviarán a https://www.flickr.com/test punto final ", explicó el investigador en una entrada del blog.

Secuestro de cuenta de Flickr

Inicialmente, Reizelman buscó una vulnerabilidad de redirección abierta en flickr.com para explotar la vulnerabilidad, pero no tuvo éxito. De todos modos, el experto ideó otro método para explotar el problema incrustando una imagen de un servidor controlado por un atacante en una página de Flickr.com utilizando la etiqueta .

El experto encontró un método para evitar los chequeos de seguridad de Yahoo, que fue capaz de incrustar una imagen externa en comentarios publicados en flickr.com/help/forum/en-us/, que no tenía una Política de Seguridad de Contenido (CSP).

Content-Security-Policy:  img-src data: blob: https://*.flickr.com https://*.flickr.net http://*.flickr.net https://*.staticflickr.com http://*.staticflickr.com https://*.yimg.com https://*.yahoo.com https://*.cedexis.com https://*.cedexis-test.com https://*.cedexis-radar.net https://sb.scorecardresearch.com https://image.maps.api.here.com https://csync.yahooapis.com https://*.paypal.com https://*.pinterest.com http://*.static-alpha.flickr.com https://geo-um.btrll.com https://connect.facebook.net https://*.facebook.com https://bs.serving-sys.com https://*.adserver.yahoo.com https://*.maps.api.here.com https://*.maps.cit.api.here.com https://*.ads.yahoo.com https://secure.footprint.net;

Luego señaló el parámetro .done a una imagen maliciosa incrustada en una publicación en el foro de ayuda de Flickr, con este mecanismo un atacante podría enviar los tokens de acceso a su servidor.

En el escenario de ataque, un hacker tiene que engañar al usuario para hacer clic en un enlace especialmente diseñado para obtener su token de acceso y hacerse cargo de la cuenta Flickr de la víctima.

El investigador informó de las vulnerabilidades a Yahoo el 2 de abril, le concedieron una recompensa de $ 7,000. La compañía opera un programa de recompensas de errores a través de HackerOne.

Debajo de la línea de tiempo de la cuenta de Flickr Error de secuestro:

• 2 de abril de 2017 - Informe inicial vía Hackerone
• 3 de abril de 2017 - Report Triaged
• 10 de abril de 2017 - Informe resuelto
• 21 de abril de 2017 - recompensa de 7K $ Bounty

Yahoo corrigió el problema al permitir que el parámetro .done apuntara a flickr.com/signin/yahoo, añadiendo CSP al foro de Flickr, los expertos también neutralizaron el método de bypass de incrustación de imágenes.


Fuentes:
http://securityaffairs.co/wordpress/58607/hacking/flickr-account-hijacking-flaw.html
http://blog.mish.re/index.php/2017/04/29/yahoo-bug-bounty-chaining-3-minor-issues-to-takeover-flickr-accounts/