Un investigador ha revelado un par de vulnerabilidades sin parches que afectan a la página web oficial de McDonald después de la compañía ignoró sus intentos de informar de manera responsable los problemas
Un holandés entusiasta de la seguridad Tijme Gommers descubrió una vulnerabilidad conocida como cross-site scripting (XSS) en la funcionalidad de búsqueda del sitio web de McDonald. La falla puede ser explotada a través de un método conocido como sandbox de escape en el marco AngularJS JavaScript, y permite que un atacante para cargar un archivo JavaScript externo que puede ser diseñado para robar la contraseña de un usuario.
De acuerdo con el investigador, el sitio web de McDonald descifra el lado del cliente la contraseña mediante una cookie que es válido por un año entero. Desde la misma clave y el vector de inicialización se utilizan para cada cliente, es fácil obtener una contraseña en texto plano.
Un atacante puede crear un vínculo que explota la vulnerabilidad XSS para cargar un archivo JavaScript externo. Una vez que el usuario hace clic en el enlace mcdonalds.com malicioso, su contraseña se descifra y se envía al atacante. Gommers dijo que las vulnerabilidades también exponen los nombres, direcciones y otros detalles.
El investigador hizo varios intentos para informar de las vulnerabilidades a McDonalds entre el 24 de diciembre y el 30 de diciembre Desde que la compañía no respondió, el experto decidió revelar los agujeros de seguridad el 5 de enero Mientras que algunos elogiaron la decisión, argumentando que las empresas como McDonald típicamente ignorar tales informes de vulnerabilidad, otros creen que debería haber les ha dado más tiempo, sobre todo porque era durante las vacaciones.
Múltiples vulnerabilidades XSS fueron descubiertos en los sitios web de McDonald en el último año, según Abra Bounty Bug. Mientras que dos de los defectos fueron parcheados después de que sus datos se hicieron públicos, varias cuestiones permanecen aún sin fijar.
"Reflected XSS es una de la vulnerabilidad más común introducida por los desarrolladores de aplicaciones orientadas a la web", dijo Julien Bellanger, co-fundador y CEO de Prevoty. "Las empresas están luchando con la seguridad de las aplicaciones de producción a gran escala debido a versiones más frecuentes y el aumento de las prácticas ágiles y DevOps. Yo esperaría a ver más de estas informaciones críticos en el futuro ".
