Google patcht ernstig YouTube-lek
Google heeft een ernstig Cross-Site Scripting-lek op YouTube gedicht waardoor aanvallers toegang tot cookies en inloggegevens van Gmail en YouTube accounts konden krijgen en de mogelijkheid hadden om JavaScript uit te voeren. De kwaadaardige code werd geplaatst tussen de reacties van gebruikers. Een uur na ontdekking van het probleem werden alle reacties tijdelijk uitgezet en na twee uur was er een oplossing, zo laat een woordvoerder van Google weten.
Naast het stelen van cookie zouden aanvallers ook JavaScript code in de browser binnen de context van YouTube kunnen uitvoeren. "Ik heb vervelende XSS-aanvallen gezien die complete inlogschermen vervalsten en we weten hoeveel mensen hetzelfde wachtwoord voor meerdere accounts gebruiken", zegt Bojan Zdrnja van het Internet Storm Center.
Pornosites
De aanval op YouTube was voornamelijk gericht tegen fans van popster Justin Bieber. De aanvalscode op werd geplaatst op YouTube pagina's van Bieber en toonde bezoekers allerlei boodschappen en stuurde ze door naar pornosites. Volgens sommige berichten was de aanval het werk van interfora Ebaumsworld of 4chan.
Ik las op Tweakers dat het probleem niet IF_HTML_FUNCTION? was maar het gebruik van 2x <script> achter elkaar.
Ik las op Tweakers dat het probleem niet IF_HTML_FUNCTION? was maar het gebruik van 2x <script> achter elkaar.
Dat klopt! De eerste keer wordt het omgezet ( <script> ) Maar de tweede keer helaas niet. En alles wat daarachter staat wordt gewoon als code uitgevoert.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
