Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

Cookies d'identification de Next INpact : réinitialisation suite à une fuite, déjà colmatée

Joyeux Noël !
Cookies d'identification de Next INpact : réinitialisation suite à une fuite, déjà colmatée
Crédits : Nomadsoul1/iStock

Les failles, ce n'est pas que pour les autres. Nous avons récemment été touchés par le référencement de pages contenant le détail de cookies d'identification. Nous avons rapidement colmaté la brèche et réinitialisé la connexion de tous nos membres.

Vendredi dernier, un lecteur (merci à lui), a découvert que Google référençait des pages de notre système de remontée rapide d'erreur, Elmah. Elles contenaient dans quelques cas des cookies d'identification qui pouvaient permettre à un tiers d'usurper l'identité du membre concerné sur le site.

Théoriquement, elles n'auraient pas dû être indexées, notre configuration ne laissant l'accès qu'à un utilisateur et ces pages ne faisant pas l'objet de liens. Néanmoins, à cause d'un bug dans le processus de mise à jour d'Elmah, notre configuration a été écrasée et nos paramètres de sécurité réinitialisés. Google a de son côté réussi à trouver ces pages. 

Suite à cette remontée, nous avons immédiatement débranché l'outil et demandé à Google de supprimer les pages concernées. Nous avons aussi réinitialisé tous les cookies d'identification de nos lecteurs ce lundi, en modifiant les clés de chiffrement utilisées. C'est ce qui explique que vous ayez eu à vous reconnecter ces derniers jours.

Notre analyse montre que la faille date d'au moins deux mois, mais qu'elle ne semble pas avoir été exploitée. Elle a néanmoins été colmatée et ne devrait désormais plus se reproduire.

105 commentaires
Avatar de chatbot Abonné
Avatar de chatbotchatbot- 21/12/17 à 14:30:38

:yes:

Avatar de eglyn Abonné
Avatar de eglyneglyn- 21/12/17 à 14:32:10

Donc changer notre mot de passe est inutile ?

Avatar de nicosomb Abonné
Avatar de nicosombnicosomb- 21/12/17 à 14:35:33

dans le doute ... ;-) ça ne coute rien.

Avatar de jb18v Abonné
Avatar de jb18vjb18v- 21/12/17 à 14:35:41

à c'est ça la reconnexion, je pensais que ça venait de la nouvelle colonne de droite :D

Avatar de trash54 Abonné
Avatar de trash54trash54- 21/12/17 à 14:35:44

:yes:

Bon ben chacun son tour quoi

Avatar de trash54 Abonné
Avatar de trash54trash54- 21/12/17 à 14:36:09

La même :transpi:

Avatar de P-A Équipe
Avatar de P-AP-A- 21/12/17 à 14:36:16

C'est inutile, dans la mesure ou de toute façon, les valeurs cookies étaient chiffrées ;)

Avatar de 127.0.0.1 INpactien
Avatar de 127.0.0.1127.0.0.1- 21/12/17 à 14:37:51

Notre analyse montre que la faille date d'au moins deux mois, mais qu'elle ne semble pas avoir été exploitée.

Put:censored: de hackers qui ne s'intéressent pas à NXI !! :cartonrouge:

Avatar de greenchris Abonné
Avatar de greenchrisgreenchris- 21/12/17 à 14:42:11

Pareil

Avatar de koocotte Abonné
Avatar de koocottekoocotte- 21/12/17 à 14:45:33

Merci pour la transparence

Il n'est plus possible de commenter cette actualité.
Page 1 / 11