Une faille dans la structure des cookies peut fragiliser un domaine entier en s’attaquant à un sous-domaine.

Passer par la petite porte

De nombreuses entreprises utilisent des sous-domaines pour faciliter leurs opérations. C’est ce que rapporte un chercheur en sécurité informatique travaillant pour Foreground Security qui explique que de nombreuses entreprises reposent sur l’idée reçue selon laquelle ce qui se passe sur un sous domaine ne peut pas affecter le niveau supérieur.

Or, les résultats de ces recherches ont mis en évidence des failles dans des sous-domaines appartenant à Google (mail.google.com), Expedia (advertising.expedia.com) et Chase Manhattan Bank (images.chase.com) capable de contaminer le site entier. Par exemple, les sous domaines de Google et Expedia ont une faille XSS. Il est donc possible de contaminer un des cookies du sous-domaine avec un code javascript malveillant qui sera ensuite utilisé par le domaine principal.

Tout sécuriser

Selon les chercheurs, le remède est simple. Les entreprises doivent appliquer le même niveau de sécurité qu’elles ont mis en place sur leur domaine à tous leurs sous-domaines. Il faudra aussi que les éditeurs de navigateurs Internet changent le fonctionnement des cookies. Il existe un système de confiance entre les domaines et les cookies des sous-domaines qui facilite les abus.

Source : Michael Bailey