OAuth sert de standard ouvert pour l'authentification par jeton utilisée par de nombreux géants de l'internet, y compris PayPal. C'est pourquoi la découverte d'une faille critique dans le service de paiement en ligne qui aurait pu permettre à des pirates informatiques de voler des jetons OAuth à des utilisateurs a incité PayPal à déployer un correctif.

Antonio Sanso, chercheur en sécurité et ingénieur logiciel chez Adobe, a découvert la faille après avoir testé son propre client OAuth. Outre PayPal, Sanso a également détecté la même vulnérabilité dans d’autres services Internet majeurs tels que Facebook et Google.

Sanso indique que le problème réside dans la manière dont PayPal gère le paramètre redirect_uri pour donner aux applications certains jetons d'authentification. Le service utilise des contrôles de redirection améliorés pour confirmer le paramètre redirect_uri depuis 2015. Néanmoins, il n'a pas empêché Sanso de contourner ces contrôles lorsqu'il a commencé à examiner le système en septembre.

PayPal permet aux développeurs d'utiliser un tableau de bord pouvant générer des demandes de jetons afin de pouvoir associer leurs applications au service. Les demandes de jetons résultantes sont ensuite envoyées à un serveur d'autorisation PayPal. À présent, Sanso a détecté une erreur dans la manière dont PayPal reconnaît un hôte local en tant que paramètre redirect_uri valide au cours du processus d'authentification. Il a dit que cette méthode implémentait à tort OAuth.

Jouer le système de validation

Sanso a ensuite utilisé le système de validation de PayPal et lui a révélé les jetons d'authentification OAuth, par ailleurs confidentiels. Il a réussi à tromper le système en ajoutant une certaine entrée du système de noms de domaine à son site Web, notant que localhost était le mot magique pour ignorer le processus de validation de correspondance exacte de PayPal.

Selon Sanso, cette vulnérabilité aurait pu compromettre n’importe quel client PayPal OAuth. Il a conseillé aux utilisateurs de créer un redirect_uri très spécifique lors de la création d'un client OAuth. Sanso a écrit dans un article de blog:

Enregistrez-vous https: // yourouauthclientcom / oauth / oauthprovider / callback. PAS JUSTE https: // yourouauthclientcom / ou https: // yourouauthclientcom / oauth.

Au début, PayPal ne croyait pas aux conclusions de Sanso, bien que la société ait finalement reconsidéré sa décision et publié un correctif pour corriger la faille.

Lire aussi:

• 7 meilleurs logiciels de facturation Windows 10 à utiliser
• Wallet pour Windows 10 Mobile apporte les paiements mobiles sans contact aux initiés