722meneos
Error muy grave de Google
Si se busca en Google la dirección que he puesto en la noticia, se obtiene una larga lista de contraseñas de FTP. Atención al bug, es muy grave, y es sólo una pequeña muestra del peligro de nuestros datos personales en manos de una empresa. Ya lo he reportado, pero creo que es interesante que se sepa.
votos negativos: 1 usuarios: 722 anónimos: 0
menéame
- condiciones legales
- quiénes somos
- licencias: código, gráficos, contenido
- descargar
- alojamiento en Ferca Network
Aunque el navegador muestra la url recortada en la barra de direcciones, aunque envía bien el referer... luego va y le pasa la URL entera al puto Flash. Sólo Opera se salva:
- MSIE 6.0: ftp://usuario:contraseña@sitio.web
- Firefox 2.0.0.4: ftp://usuario:contraseña@sitio.web
- Konqueror 3.5.6: ftp://usuario:contraseña@sitio.web
- Opera 9.21: ftp://usuario:––-@sitio.web
Ahí aparecen un montón de direcciones de ese tipo:
ftp://usuario:contraseña@ftp.dominio.com
y si accedes a ellos, en teoría, con ese usuario, y esa contraseña accedes a contenidos protegidos en ese dominio.
Seguro que he usado lenguaje y términos equivocados, corregidme sin compasión.
Los navegadores mandan una información en la cabecera del modo "Referer: meneame.net/story/error-muy-grave-de-google ", que es de donde YouTube (o la web que sea) obtiene la URL desde la que se ha llegado (si no ha sido directo). Osea, el pifiazo es del navegador por mandar en esa URL un nombre de usuario y una contraseña.
youtube.com/watch?v=Bz7Tfjns7ZM
:-D
El fallo no creo que sea de Google ni de Youtube, en todo caso apostaría por el usuario (obviamente) y el navegador... pero no parece que fallen:
- URL inicial: ftp://usuario:contraseña@sitio.web
- Firefox 2.0.0.4: "ftp://sitio.web"
- Opera 9.21: "-"
- Internet Explorer 6.0: "-"
Así que sólo quedan como sospechosos alguna versión anterior, o Flash.
#42 Me gusta más el SFTP. Seguro como el SSH, cómodo como el FTP ;)
Por lo visto YouTube registra todos los lugares desde los que se reproducen sus vídeos. Pero las contraseñas... manda huevos.
ftp://ftp.agnesfaitsabo.com/Web/HACKED.html
ftp://ftp.retardtv.nl/HACKED.html
ftp://ftp.s95.tku.edu.tw/HACKED.html
ftp://ms2.twcat.edu.tw/Cracked.html
.....
Cuando decimos que son los navegadores los culpables (excepto Ópera) es porque son los que envían la URL completa con el password a los objetos Flash de YouTube cuando estos se encuentran embebidos en páginas a las que se ha accedido mediante FTP. Estos objetos embebidos de YouTube son los que envían estas URL de FTP al serv... » ver todo el comentario
(Si falta precisión, sigo aclarando que mis conocimientos de informática son muy limitados)
El tema es que creo que lo mejor no es proclamar esto a los 7 mares, sino al interesado principal que es google y youtube a la vez, no??
Puede haber personas que por el simple hecho de ver datos propios publicados por tí, tb cojas parte del cotarro, no se, es una duda que me surje.
salu2
Es decir, cuantos enlaces a youtube puedes encontrar en ftps ?
Esto debería arreglarse en todos los navegadores, de manera que no se manden contraseñas de FTP a ningún objeto embebido, ni Flash ni de ningún otro tipo, ya que a través de un objeto embebido esa información puede salir fuera de la página (como pasa en este c... » ver todo el comentario
Lo que vemos raro es que google obtenga esa información de ftps que no son suyos. Es decir, quien le hace llegar esa información ?
La teoría mas plausible es que son los navegadores. Si vienes de un ftp el navegador envía todos esos datos, incluida contraseña!, como referer al servidor web al que vas. Lo dicho, es una teoría.
Si fuera así la culpa sería del navegador, no de google que solo estaría mostrando un dato que no es confidencial (el referer no esta considerado como un dato sensible a nivel de seguridad, faltaría mas).
Te corrijo: Macromedia Flash libre ya
(hay substitutos libres, lo se, pero están en bragas)
Edito: si Opera no lo hace será que tampoco es cosa del flash, sino exclusivamente del navegador (aunque solo lo haga cuando usa Flash). A ver cuanto tardan los navegadores en arreglarlo, sera divertido ver cual es el primero y cual se equivoca tres veces antes de hacerlo bien.
Google se limita a poner ahí de dónde ha venido la gente, es decir, el campo "referrer" de las peticiones al vídeo. Lo lógico es que no ande mirando si en ese campo hay información que debería ser protegida, eso es responsabilidad del navegador. Y lo que es una burrada es hacer un navegador que mande tus contraseñas de FTP en el campo referrer (por texto plano) a un servidor distinto del servidor de FTP (podría ser youtube o cualquier otro).
Hay muchos blogs, CMS's y otras webs que tienen sistemas parecidos para llevar cuenta de los referrers. El fallo se ha visto en youtube porque es muy grande y la probabilidad de que se dé el problema es mayor; pero seguro que puede pasar en muchas otras webs y, repito, el fallo es del navegador que usaron esas personas.
#59 Creo que no te has enterado muy bien. Cuando dicen que Ópera no devuelve los passwords no se están refieriendo a los resultados de Google. Obviamente en todos los navegadores el contenido de una página es el mismo.
Edito: Google ha publicado un error por error, curioso :-), de todas formas el origen es lo que importa. Y si son los navegadores es culpa del navegador y de nadie mas.
El vídeo que citas, y en el que se explica el problema, es del día 17 de Junio. Es decir, de hace 6 días. ¡Y el problema sigue allí!
Parece que ni denunciándolo en público lo arreglan... :-?
No es porque sean inútiles sino porque tienen una estructura compleja y reciben peticiones de muchísima gente, la mayoría equivocadas, estúpidas e inútiles.
Publicarlo ciertamente hace que sea mas conocido y mas gente acceda a los datos erróneos, pero a su vez hace que el problema tenga mas prioridad y se solucione muy rápidamente.
De otra forma, las 4 o 4.000 personas con el privilegio de conocer ese bug pueden estar usándolo durante meses y el daño puede ser aún mayor.
La repercusión y por consiguiente el ridículo que pueda sentir la empresa afectada puede generar una mayor concienciación por el resto de empresas que también podrían tener problemas similares y ser mas activos con el tema (si si ya ya ... pero soñar es gratis).
Es triste.
Por lo que veo no son sitios que estén alojados o pertenezcan a dominios de google.
Alguien que suba vídeos a youtube sabe si en algún momento hace falta informarle la contraseña de algo ?
Esto podría incluso destapar algo mas gordo, como que google este almacenando datos que no le pertenezcan y lo haga sin el conocimiento de la persona de las que los obtiene.
No se, es todo muy muy raro.
Que alguien me lo explique
PD: en 40 mins en portada, no está mal
ftp://semihdede21:213349419@208.64.38.23/cafetuana.somee.com/images/tech2.png
No lo entiendo, me sigue pareciendo muy raro.
En que momento se manda esa información ?
Pero eso de "clicks from" sale en youtube al darle a "links" (debajo de "Views: 345 | Comments: 0 | Favorited: 2 times")
En los que he mirado han eliminado los que han enlazado desde ftps, pero quedan desde "file: ///" como este ejemplo: www.youtube.com/watch?v=k0bmi__T7p8#
Al que han accedido desde sitios como:
file: ///C:/Documents%20and%20Settings/Bernard/Local%20Settings/Temporary%20Internet%20Files/FrontPageTempDir/pvw12
Me parece más bien un grave problema del navegador que haya dejado escapar esa información que no de Youtube.
Si no me equivoco esto sería como si tienes en una página de tu web datos privados sin un robots.txt que evite que los buscadores indexen esas páginas y zas, los buscadores indexan datos privados tuyos ¿problema de los buscadores?. Vah, más o menos.
Con respecto a hacer público el error mejor era hacerlo público pero una vez resuelto, se evitarían juankers jugando . Google hasta ahora parece que ha atendido los comunicados de todo tipo y con todas las vulnerabilidades se hizo así.
Pero bueno, cada uno con su modo.
Los que cometen el error son los navegadores web que le dan al plugin flash una contraseña que no deberían y este la envía a google (youtube).
Ya les vale :(
#30, que sí, que es tu postura y me parece estupendo, pero que la existencia de tal o cual web no la legitima.
Venga, para que todos se queden contentos "Error muy grave en Google" :-)