Vulnérabilité : vol d'un cookie, les services Google menacés

La découverte de Billy Rios a été prise très au sérieux, ne serait-ce que parce que ce chercheur en sécurité informatique jouit d'une belle réputation dans le milieu, suite à la mise à jour d'une vulnérabilité URI dans Windows qui avait fait couler beaucoup d'encre, ou encore de multiples failles dans Picasa de Google. Récemment, c'est Google Code qui avait subi la loi de Rios et aujourd'hui c'est une nouvelle fois un service étiqueté Google qui est dans sa ligne de mire.


Nouvelle mise en garde pour Google et ses services
Dans un billet publié sur son blog, Rios annonce avoir découvert une vulnérabilité affectant le tableur du service de bureautique en ligne proposé par la firme de Mountain View, Google Documents. En exploitant cette vulnérabilité via des liens renvoyant vers des feuilles de calcul spécialement conçues, Rios soutient que des attaquants distants peuvent voler un cookie utilisateur Google. Avec ce simple cookie, c'est alors un accès à l'ensemble des services en ligne Google de l'utilisateur pris pour cible qui est offert, dont peut-être le plus sensible pour les données personnelles, Gmail.

Selon Rios, ladite vulnérabilité de type XSS (Cross site scripting) tire avantage de la manière dont Internet Explorer détermine le content-type d'une réponse HTTP renvoyée par le serveur. Certaines entêtes dans les réponses HTTP sont ignorées par le navigateur. Disons-le tout de site, le problème n'est pas spécifique au navigateur de Microsoft, et d'autres comme Firefox, Safari et Opera peuvent également ignorer l'entête content-type et tenter de déterminer la réponse du serveur par eux-mêmes.

Rios affirme avoir réussi à exploiter la vulnérabilité en injectant du contenu HTML dans la réponse serveur. Pour ce faire, il a généré une feuille de calcul, la première cellule contenant le code HTML et un bout de JavaScript pour afficher le cookie utilisateur. Le tableur de Google peut exporter des données dans un texte au format cvs qu'Internet Explorer interprète en tant que HTML.

Apparemment, Google a comblé la vulnérabilité mais cette nouvelle alerte montre à quel point l'intégrité de ses services ne tient qu'à un fil.