Instagram sur iOS : une vulnérabilité permet de prendre le contrôle du compte

01 juin 2018 à 15h36
0
Un expert en sécurité a mis en lumière une faille dans la version iOS de l'application Instagram : cette dernière envoie des informations en clair sur le serveur du service, permettant à un pirate de prendre le contrôle du compte de l'utilisateur.

00FA000005273794-photo-logo-instagram.jpg
Le chercheur en sécurité Carlos Reventlov pointe du doigt une faille présente dans la version 3.1.2 de l'application Instagram pour iOS, publiée le 23 octobre dernier sur l'App Store. L'expert a constaté que si l'application chiffre de nombreuses données sensibles avant de les envoyer sur les serveurs d'Instagram, certaines informations sont, de leur côté, envoyées en clair. C'est notamment le cas d'un cookie qui est envoyé sans chiffrement lorsque l'utilisateur lance l'application.

« Une fois que l'attaquant récupère le cookie, il est en mesure de créer des requêtes HTTP spéciales visant à récolter des informations et supprimer des photos » explique-t-il. Il est possible de changer l'adresse email liée au compte pour le compromettre totalement.

Testé sur un iPhone 4 doté d'iOS, l'exploit résulte d'une attaque de type « man in the middle », c'est à dire que l'attaquant doit intercepter les données entre le moment où l'utilisateur les envoie et celui où elles sont reçues par le serveur distant. Point important, le hacker doit se trouver sur le même réseau que la victime, ce qui réduit le champ d'action de l'intrusion, notamment aux réseaux WiFi non sécurisés.

Carlos Reventlov avait mis le doigt sur le problème le 10 novembre dernier, mais ne l'a publiquement dévoilé que le 30 novembre, car il avait tenté de prévenir Instagram avant. Au bout de 20 jours sans nouvelles du service, il a décidé de publier la faille, en précisant qu'elle n'avait pas été corrigée.
Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
0
0

Actualités du moment

Interview Outlook.com : les utilisateurs de Gmail migreront-ils ?
Red lance un lecteur 4K et un service de VOD pour cinéphiles fortunés
Piratage en Chine : Microsoft reçoit 4,36 millions d'euros
USA : nouvelle semaine sous tension entre Apple et Samsung
Apple RAW 4.02 : appareils photos de la Photokina pris en charge, sauf ceux de Fuji
Bientôt de la musique en streaming sur Skydrive ?
AMD prépare le renouvellement des Brazos 2.0 pour netbooks
La Syrie a retrouvé le Net après deux jours de coupure
Facebook Photo Sync : synchronisez automatiquement vos photos depuis Android et iOS
HTTP 2.0 : l'IETF retient le protocole SPDY pour former le prochain standard
Haut de page