Функція відновлення паролю на GitHub не розрізняла деякі Юнікод-символи нижнього і верхнього регістру. Тобто зловмисники могли зламати облікові записи, просто замінивши одну літеру в поштовій адресі. Наприклад, замість mike@example.org створити власну пошту mıke@example.org.
Система порівнювала введену адресу з базою даних, не бачила відмінностей і надсилала посилання для відновлення паролю на пошту зловмисника.
Атака б спрацювала, лише якщо у першій частині імейлу дозволявся Юнікод, а зловмисник міг знайти відповідник цьому символу та зареєструвати таку пошту. Юнікод в доменній частині заборонений сервером GitHub, тому його не можна застосувати для атаки на загальні домени (наприклад, gmail.com замінити конструкцією gmaıl.com).
Проблему помітив дослідник безпеки Джон Ґрейсі (John Gracey) та повідомив про неї в межах проєкту GitHub Security Bug Bounty. Команда GitHub вже виправила вразливість і тепер імейл-адреси мають повністю збігатися.
Ще немає коментарів