a la une 04/11/2009 à 18h30

Aujourd'hui, c'est pub ouverte sur le site d'Apple

Augustin Scalbert | Journaliste Rue89



Fausse pub pour la boutique Rue89 sur le site d'Apple

Dans la nuit de mardi à mercredi, un petit plaisantin a fait le bonheur de milliers d'internautes en plaçant une publicité pour Windows 7 sur le site anglophone d'Apple iTunes, en raison, semble-t-il, d'une faille XSS. Le problème a vite été réglé par la firme américaine, mais la faille subsiste sur le site français.

Par exemple, en suivant ce lien, on pourrait croire qu'Apple effectue la promotion des T-shirts Rue89. Si si, il s'agit vraiment du site Apple.com/fr, comme on peut le vérifier en cliquant sur un des liens en bas de la page.

Alors forcément, l'URL fait plusieurs dizaines de kilomètres de long, et n'est pas très pratique à faire « buzzer ». Sauf qu'en passant par un réducteur d'adresses web du type u.nu (un des plus courts), on obtient une adresse comme celle-ci : http://u.nu/53sr3. Beaucoup plus simple à relayer pour qui voudra envoyer à ses amis la photo de son bébé, de son chien ou de sa plante verte dans le cadre insolite (ou avantageux, selon les goûts) du site Internet de la marque.

Contactée par Rue89, Apple n'a pas encore donné suite à nos appels. Selon Colin, informaticien à Rue89, ce genre de faille serait plutôt bénigne pour Apple, et même volontaire de la part de la firme, dans la mesure où elle permet à ses clients d'entrer eux-mêmes le nom du titre et de l'artiste qu'ils veulent vendre sur le site iTunes :

« En entrant sur le site, c'est comme si tu parvenais à entrer dans la cour d'un château fort. Mais une fois que tu es dans la cour, tu ne peux pas aller plus loin car les portes sont trop épaisses. »

Reste qu'une pub Windows sur le site de l'« ennemi » de toujours Apple, ça fait tache... La faille ne devrait pas rester longtemps sur le site français.

► Ajout 5/11/2009 13h56 : la faille a été comblée sur le site iTunes France.

  • 22473 visites
  • 19 réactions
TAGS
Vous devez être connecté pour commenter : or inscrivez-vous
  • monOpinion-
    • Posté à 19h12 le 04/11/2009

    Ce genre de faille tel quel est en fait assez bénin, car le contenu sur le serveur n'est pas modifié. Le changement s'opère en réalité « coté navigateur », et il est surtout dangereux pour l'utilisateur, car on peut imaginer que le pirate fasse en sorte d'afficher un formulaire login/mot de passe qui lui retransmettrait ces informations sensibles au moment de la validation. Couplé à une méthode de pishing c'est donc potentiellement très dangereux.

  • Pot_de_chambre
    Pot_de_chambre répond à monOpinion-
    Touriste
    • Posté à 20h17 le 04/11/2009
    • Internaute
      Touriste

    Seulement trois variables peuvent être modifiées sur la page :
    - Le nom du morceau recherché (avant le « by ») ;
    - Le nom du site partenaire (après le « by ») ;
    - Une image liée.
    Pas de quoi faire du pishing. Pas de quoi faire grand chose d'ailleurs puisqu'il est impossible d'insérer un lien, ou plus compliqué (comme un formulaire). Tout au plus de quoi faire quelques blagues.

  • monOpinion-
    • Posté à 22h08 le 04/11/2009

    Les variables sont « censées » remplacer logiquement un titre, un lien et une image, mais tout le code HTML y est interprété sans restriction. En passant 5 minutes dessus j'ai pu afficher un formulaire :

    Lien

    Nul doute qu'avec un peu de javascript/DOM et de la patience je pourrais faire un formulaire crédible.

    A noter au passage que si vous utilisez l'addon « NoScript » de Firefox, vous êtes prémunis contre ce genre d'attaque ! Je viens d'en faire l'expérience à l'instant !