Thursday, 11 June 2015

FC2 Online Web Service Open Redirect (Unvalidated Redirects and Forwards) Cyber Security Vulnerabilities


















FC2 Online Web Service Open Redirect (Unvalidated Redirects and Forwards) Cyber Security Vulnerabilities


Domain:
fc2.com


"FC2 (founded July 20, 1999) is a popular Japanese blogging host, the third most popular video hosting service in Japan (after YouTube and Niconico), and a web hosting company headquartered in Las Vegas, Nevada. It is the sixth most popular website in Japan overall (as of January 2014). FC2 is an abbreviation of "Fantastic Kupi-Kupi (クピクピ)". It is known to allow controversial adult content such as pornography and hate speech (unlike many of its competitors). The company uses rented office space for its headquarters which it shares with many other U.S.-based businesses. It also pays taxes in the United States. The physical servers are located in the United States. However, it is believed that the majority of the company and its users (including employees) are located within Japan" (Wikipedia)



The Alexa rank of fc2.com is 52 on February 18 2015. It is the toppest Japanese local website sevice.






(1) Vulnerability Description:

FC2 online web service has a computer cyber security bug problem. It can be exploited by Open Redirect (Unvalidated Redirects and Forwards) attacks. Here is the description of Open Redirect: "An open redirect is an application that takes a parameter and redirects a user to the parameter value without any validation. This vulnerability is used in phishing attacks to get users to visit malicious sites without realizing it."  One consequences of it is Phishing. (OWASP)


The program code flaw can be attacked without user login. Tests were performed on Microsoft IE (9 9.0.8112.16421) of Windows 7, Mozilla Firefox (37.0.2) & Google Chromium 42.0.2311 (64-bit) of Ubuntu (14.04.2)，Apple Safari 6.1.6 of Mac OS X v10.9 Mavericks.

In fact, during the test, it is not hard to find URL Redirection bugs in FC2. Maybe fc2.com pays little attention to mitigate these Vulnerabilities. These bugs were found by using URFDS.





(2) Use one of webpages for the following tests. The webpage address is "http://securitypost.tumblr.com/". Can suppose that this webpage is malicious.


Vulnerable URL 1:

POC Code:




Vulnerable URL 2:

POC Code:













Vulnerability Disclosure:
Those vulnerabilities were reported to Rakuten, they are still unpatched.






Discover and Reporter:
Wang Jing, Division of Mathematical Sciences (MAS), School of Physical and Mathematical Sciences (SPMS), Nanyang Technological University (NTU), Singapore. (@justqdjing)







==================






FC2オンラインWebサービスオープンリダイレクト（未検証のリダイレクトとフォワード）サイバー·セキュリティの脆弱性





ドメイン：
fc2.com


（1999年7月20日に設立）」FC2は、日本の人気ブログのホスト、（YouTubeやニコニコ後）は、日本で3番目に人気のビデオホスティングサービス、およびラスベガス、ネバダ州に本社を置くウェブホスティング会社です。それは第六最も人気のあります日本のウェブサイトは、全体的な。（2014年1月のように）FC2はの略で、「ファンタスティックKupi-Kupi（クピクピ）」。このようなポルノのような論争のアダルトコンテンツを許可し、（競合他社の多くとは異なり）スピーチを憎むことが知られています。」 （ウィキペディア）




fc2.comのAlexaのランクはそれがtoppest日本のローカルウェブサイトの流通サービスである2月18日2015年52あります。







（1）脆弱性の説明：

FC2オンラインWebサービスは、コンピュータのサイバーセキュリティバグの問題があります。それは、オープンリダイレクト（未検証のリダイレクトとフォワード）攻撃によって悪用される可能性があります。ここでオープンリダイレクトの説明は次のとおりです。「オープンリダイレクトがパラメータを受け取り、何の検証も行わずにパラメータ値にユーザーをリダイレクトするアプリケーションです。この脆弱性は、それを実現することなく、悪質なサイトを訪問するユーザーを取得するためにフィッシング攻撃で使用されています。。 "それの一つの結果はフィッシングで​​す。 （OWASP）



プログラムコードの欠陥は、ユーザのログインなしで攻撃される可能性があります。テストは、Windows 7のMicrosoftのIE（9 9.0.8112.16421）で行われた、Mozilla Firefoxの（37.0.2）＆グーグルクロム42.0.2311のUbuntuの（64ビット）（14.04.2）はMac OSのアップルのSafari 6.1.6 X v10.9マーベリックス。



実際には、テスト時には、FC2内のURLリダイレクトのバグを見つけることは難しいことではありません。多分fc2.comは、これらの脆弱性を軽減するためにはほとんど注意を払っています。





（2）以下の試験のためのWebページのいずれかを使用します。ウェブページアドレスは「http://securitypost.tumblr.com/」です。このウェブページに悪意であるとすることができます。


脆弱URL 1：

POCコード：




脆弱URL 2：

POCコード：







脆弱性の公開：
これらの脆弱性は楽天に報告された、彼らはまだパッチを適用していないです。





発見し、レポーター：
王ジン (Wang Jing)、数理科学研究部門（MAS）、物理的および数理科学科（SPMS）、南洋理工大学（NTU）、シンガポール。 （@justqdjing）








Posted by at
Labels: , , , , , , , , , , , , , ,

No comments:

Post a Comment

Subscribe to: Post Comments (Atom)