Livres blancs

  • Cybersécurité industrielle : quelles stratégies pour contrer les cybermenaces ?
  • Flux de paiement et données sensibles : comment fiabiliser le réseau ?
  • Du e-commerce au magasin : la fibre au service d'un réseau performant

L'application officielle du réseau mondial de prière du Pape, Click to pray, a divulgué les noms et adresses e-mail de centaines de milliers d'utilisateurs. Une vulnérabilité restée exploitable pendant près de six mois malgré un signalement.

Une faille dans l'application de prière du Vatican exposait les données personnelles de ses utilisateurs. (Click to Pray)
Une faille dans l'application de prière du Vatican exposait les données personnelles de ses utilisateurs. (Click to Pray)

Un pirate éthique connu sous le pseudonyme BobDaHacker affirme avoir repéré et signalé une vulnérabilité de sécurité dans l’application de prière approuvée par le Pape le 3 janvier sans que la faille ne soit résolue entre temps. Faute de retour, le pirate informatique a rendu publique sa découverte dans un blog ce vendredi 24 juillet en déclarant « la vulnérabilité est encore en vie », expliquant n'avoir reçu aucune réponse malgré sa tentative de contact.

L'application, disponible en sept langues et revendiquant près de 719 000 comptes, présentait une vulnérabilité de type Insecure Direct Object Reference (IDOR). Concrètement, l'API ne vérifiait ni les autorisations d'accès ni la propriété des ressources consultées. Il suffisait d’ajouter un identifiant à cinq chiffres pour accéder aux informations d'un autre utilisateur.

Une faille classique 

Selon le pirate, près de 700 000 profils étaient accessibles, avec des informations comprenant le nom, le prénom, l'adresse e-mail, les dates de naissance, le pays ainsi que des identifiants techniques associés au compte. Si aucun moyen de paiement n'était exposé, ces données restent suffisantes pour alimenter des campagnes de phishing ciblées. 

Cette vulnérabilité relève de la catégorie Broken Access Control, identifiée depuis plusieurs années comme le risque numéro un du classement OWASP Top 10. Sa détection est généralement simple lors d'audits de sécurité, ce qui interroge sur les processus de revue de code et de validation de l'application avant sa mise en production. BobDaHacker revient sur cette erreur, « la plupart des frameworks gèrent l'authentification pour vous, mais pas l'autorisation. Ils vérifient "est-ce que cette personne est connectée ?", mais pas "est-ce qu'elle a le droit de voir cette ressource précise ?". C'est pourtant la base… »

Une divulgation publique qui accélère la correction

Ce n'est qu'après la publication de l'article dans Dark Reading détaillant la vulnérabilité que les responsables de l'application ont réagi. La faille a finalement été corrigée … en partie et l'accès non autorisé aux données bloqué quelques heures après sa médiatisation. En réalité, l’URL défaillante continue de leaker des informations mais uniquement l’identifiant et le nom. L’adresse e-mail et les autres informations ont disparu. 

Une erreur dans l'article? Proposez-nous une correction