Bonjour à tous, aujourd'hui, je veux vous raconter comment j'ai découvert une vulnérabilité dans ICQ qui vous permettait de vous connecter à absolument n'importe quel chat sur son chat.agent`y.La vulnérabilité était dans api.icq.com.
Méthode vulnérable: ajouter des personnes au chat.
mchat/AddChat
Paramètres de méthode:
&aimsid= // &c=WebIM.jscb_tmp_c12813 //- &chat_id=680009979@chat.agent // , id &members=740645342 // uin , uin
Ainsi, en composant la demande, nous étions connectés à absolument n'importe quel chat.
Ajout d'une vulnérabilité trouvée
La vulnérabilité est assez grave, mais cette vulnérabilité avait un autre atout. Lorsque je me connectais à un chat où je n'avais jamais été, j'avais un historique de chat complet chargé, avant d'y être.
Rapport de vulnérabilité de Hackerone
Après avoir trouvé la vulnérabilité, je suis immédiatement allé sur hackerone.com
J'ai résolu le problème dans ICQ et j'attendais une réponse.23 avr (2 mois)
Merci, vérifiez et discutez du comportement actuel avec les développeurs.
Réponse de l'équipe ICQ.
Après cela, j'ai commencé à attendre ... Et puis j'ai eu une réponse, ce qui m'a très surpris ...
Bon après-midi
Nous ne confirmons pas l'existence d'une vulnérabilité. Les conclusions restantes, le cas échéant, devraient être des rapports distincts, s'il vous plaît.
Réponse de l'équipe ICQ.
J'ai commencé à prouver depuis très longtemps qu'il existe une vulnérabilité. Et j'ai décidé d'effrayer un peu les gars de l'équipe ICQ.
N'êtes-vous pas adéquat? Je rejoins absolument n'importe quel chat, quel qu'il soit, donc je peux aussi voir ce dont les gens ont parlé avant moi. Eh bien, ne tenez pas compte de la vulnérabilité. Je vais utiliser pour le bien pas le meilleur.
Sergey Kashatov (journaliste).
Tout cela a traîné jusqu'en mai, et maintenant ils m'ont finalement donné une réponse positive!11 mai
Bon après-midi
Nous reconnaissons un problème de sécurité et le mettons au travail. Nous vous informerons de la correction. Le paiement sera prévu dans un délai d'une semaine.
Équipe ICQ
Après 5 jours, la vulnérabilité a été corrigée.
Bon après-midi
La vulnérabilité dans le cadre du rapport que vous avez envoyé est corrigée. Veuillez vérifier qu'il en est bien ainsi.
Équipe ICQ
J'ai confirmé le correctif et le lendemain, j'ai reçu une récompense de vulnérabilité de 1 000 $.
Après 4 semaines, le rapport a été ouvert pour être montré au monde.
En général, quelque chose comme ça.
Merci à tous.
Lien de rapport