best web hostingBlogcheap web hostingCloud HostingCross-site ScriptingDedicated Hostingfree web hostinghosting servicesVulnerabilityWeb Application VulnerabilityWeb hosting service

5 servicios populares de alojamiento web que son vulnerables a múltiples fallas

Un investigador de seguridad ha descubierto múltiples vulnerabilidades del lado del cliente de un clic en algunas de las empresas de alojamiento web más populares y más utilizadas del mundo que podrían haber puesto a millones de sus clientes, así como a miles de millones de visitantes de sus sitios, en riesgo de piratería.

El investigador independiente y cazador de errores Paulos Yibelo, quien compartió su nueva investigación con The Hacker News, descubrió aproximadamente una docena de vulnerabilidades de seguridad graves en Bluehost, Dreamhost, HostGator, OVH e iPage, que ascienden a aproximadamente siete millones de dominios.

Algunas de las vulnerabilidades son tan simples de ejecutar, ya que requieren que los atacantes engañen a las víctimas para que hagan clic en un enlace simple o visiten un sitio web malicioso para apoderarse fácilmente de las cuentas de cualquier persona que utilice los proveedores de alojamiento web afectados.

Defectos críticos reportados en servicios populares de alojamiento web

Yibelo probó todas las vulnerabilidades enumeradas a continuación en las cinco plataformas de alojamiento web y encontró varias vulnerabilidades de toma de control de cuentas, cross-scripting y divulgación de información, que él documentado en el blog Website Planet.

1. Bluehost—La empresa propiedad de Endurance, que también es propietaria de Hostgator e iPage, y en total, los tres proveedores de alojamiento alimentan a más de 2 millones de sitios en todo el mundo. Bluehost resultó vulnerable a:

  • Fugas de información a través de configuraciones incorrectas de intercambio de recursos de origen cruzado (CORS)
  • Adquisición de cuenta debido a una validación incorrecta de la solicitud JSON CSRF
  • Se puede realizar un ataque Man-in-the-middle debido a una validación incorrecta del esquema CORS
  • La falla de secuencias de comandos entre sitios en my.bluehost.com permite la toma de control de la cuenta (demostrado en una prueba de concepto, a continuación)

2. Dreamhost—El proveedor de alojamiento que alimenta a un millón de dominios resultó vulnerable a:

  • Adquisición de cuentas mediante la falla de scripting entre sitios (XSS)

3. HostGator

  • La derivación de protección CSRF en todo el sitio permite un control completo
  • Varias configuraciones incorrectas de CORS que conducen a la filtración de información y CRLF

4. Alojamiento OVH—La empresa que solo alimenta cuatro millones de dominios en todo el mundo resultó vulnerable a:

  • Bypass de protección CSRF
  • Configuraciones incorrectas de API

5. Alojamiento iPage

  • Defecto de adquisición de cuenta
  • Omisiones de la política de seguridad de contenido múltiple (CSP)

Demostraciones en video

Hablando con The Hacker News, Yibelo dijo que le tomó alrededor de una hora en cada una de las cinco plataformas de alojamiento web en promedio encontrar al menos una vulnerabilidad del lado del cliente relacionada con la toma de control de cuenta, principalmente usando Burp Suite, una herramienta de prueba de seguridad de aplicaciones web. y complementos del navegador Firefox.

“Se enfocan principalmente en proteger los activos incorrectos, pero la mayoría de ellos tienen estándares de seguridad medios para sus portales de perfil de usuario y clases de vulnerabilidad de exfiltración de datos. La mayoría de sus protecciones se pueden eludir fácilmente usando trucos menos conocidos”, dijo Yibelo a The Hacker News.

Entre las empresas de alojamiento afectadas, Yibelo descubrió que Bluehost, HostGator e iPage eran las más fáciles de piratear, aunque le dijo a The Hacker News que HostGator incluía “múltiples capas de controles de seguridad (que se pueden omitir, pero están ahí, a diferencia del otros sitios).”

Yibelo informó sus hallazgos a los proveedores de alojamiento web afectados, todos excepto OVH parchearon sus servicios antes de que la información se hiciera pública ayer. OVH aún tiene que confirmar y responder a los hallazgos del investigador.

Publicaciones relacionadas

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Botón volver arriba
Cerrar