myvideo: Sicherheitslücke entdeckt

Mithilfe eines simplen Skripts kann von jedem Benutzer von myvideo die E-Mail Adresse geändert werden, um den entsprechenden Account zu übernehmen. Es handelt sich dabei um Cross-Site Request Forgery (CSRF) Clickjacking.

Der Hacker unnex hat letzte Nacht ein anschauliches Video beim Videohoster myvideo eingestellt.

Er zeigt dabei, wie man mithilfe seines selbst erstellten Skripts von allen möglichen myvideo-Usern die E-Mail Adresse ändern kann, um sich selbst ein neues Passwort zuschicken zu lassen.

Zwar ist so mit wenigen Handgriffen die Übernahme eines Zuganges beim Videohoster myvideo möglich, die Übernahme aller Zugänge wäre allerdings mit einem entsprechenden zeitlichen Aufwand verbunden. Obwohl der Autor das Skript frei zur Verfügung stellt, stellt er gleichzeitig fest, dass seine Arbeit nicht für kriminelle Zwecke verwendet werden soll. Das leicht verständliche Video ist derzeit noch verfügbar und kann hier eingesehen werden.

Es ist aber damit zu rechnen, dass das Videoportal die Sicherheitslücke sobald wie möglich füllen und das entsprechende Video löschen wird. Das Video wurde bereits deaktiviert, bei Youtube ist es noch immer verfügbar. Am 03.04. wurde die Sicherheitslücke wieder geschlossen.

Update:

myvideo ist nach einem Tag Pause wieder offen, das Video mit der entsprechenden Anleitung kann hier eingesehen werden. (Ghandy)

News Redaktion am Samstag, 04.04.2009 08:13 Uhr

tags Tags: myvideo unnex hacken

Weitere interessante News

38 Reaktionen zu dieser Nachricht

eliveo am 09.06.2010 16:31:53

Wann beseitigen die dann endlich den Bug?`Also das kann doch nicht sein, dass Bugs jahrelang drin bleiben, ehe man sie entfernt. ...
its-posted am 08.06.2010 04:54:24

auf seiner crew die unnex damals hatte fand ich folgendes: http://www.myvideo.de/watch/7158519/myvideo_de_movie_delete_remote_link_execute_by_demens_crew (es beschreibt wie man mit hilfe von einem link-execute jedes beliebige video eines users einfach loeschen kann.) also er hatte den ...
tombase am 06.04.2009 17:27:19

Alle User Formulare haben jetzt ein captcha & Alle Formulare auf MyVideo haben jetzt einen hidden token... Vielen Dank & LG Tomy ...
Ghandy am 06.04.2009 09:22:31

video no. 3 ...
tombase am 05.04.2009 21:28:10

Hi Guys, ganz locker wir hatten schon am Freitag unser Kidy Captcha eingebaut und seit heute Abend ist das ganze token geschützt... Das ganze war zwar für unsere MyVideo User nie ein Sicherheitsproblem, weil eine geänderte E-Mail Adresse immer vom User manuel bestätigt werden muß, aber sicher ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...