¿Están ciegos en Edmodo?

Edmodo es una red social educativa en la que se encuentran alumnos y profesores, que sirve para mandar y calificar trabajos, notificar cosas, etcétera. Uno de mis profesores se decidió usarla y, la verdad, hay que reconocer que es muy cómoda. Tranquilos, lectores del lado del mal, este artículo no es un publirreportaje…

Centrándonos en la seguridad, lo primero que llama poderosamente la atención es la ausencia de Https por defecto, incluso para el envío de la contraseña en el login con lo que lo hace especialmente sensible a ataques de man in the middle y hijacking de sesiones con Firesheep, pero si a Facebook le costó años y Tuenti aún está así, no es para rasgarse las vestiduras... ¿o deberíamos?

Sin embargo, de lo que quiero hablaros es de que, estando registrado como alumno fui a ver el perfil de un compañero. La URL era del perfil de un usuario es: edmodo.com/user?uid=SuID y claro, como os podéis imaginar vosotros que leéis este blog, uno no es de piedra…, así que ya podréis entender que probara las tres o cuatro cosas más habituales. Así, sin darle duro:

- edmodo.com/user?uid=SuID and 1=1
- edmodo.com/user?uid=SuID and 1=0

Seguro que alguno estaréis pensando que cómo soy tan maligno de no avisarles, pobrecicos, un error lo tiene cualquiera, etcétera. Y es cierto, no soy tan maligno... al menos no tanto.

Conversación de día 2 de Diciembre. Abajo un resumen en Español -:

Yo:

Dear admin, 

As you can see... 

   http://www.edmodo.com/user?uid=YOURFRIENDID%20and%201=1
   http://www.edmodo.com/user?uid=YOURFRIENDID%20and%201=0 

It's really important that you fix it because altough you can't see a profile without permission you can get any info from the database.

Tío raro de soporte:

Hi Juan, 

Can you clarify what kind of info you are able to get from the database?

Kevyn

Yo:

Hi Kevyn,

I haven't tested further because would take me a lot of time and probably wouldn't be legal. Breaking the law and spending hours without profit? Obviously not.

All I can tell you is that this kind of vulnerability would make possible extract ANY information in the database such as user emails, user passwords (altought I suppose and hope that they are hashed/salted) and documents. 

Please forward it to your backend/technical department as fast as you can, this is very serious.

Tio raro de soporte: 

will do.  Jason, please see the following email thread.

Resumen cutre en Español:

Yo: Hola teneis un agujero, es bastante grave se puede acceder a cualquier dato.
Tio raro: ¿Qué datos puedes coger?
Yo: ¿No te he dicho que cualquiera? Ponme con un informático anda…

Lo más grave no es que tenga más agujeros que las mozas de meter.com, sino que un mes después todo siga igual. Como muestra de su gran preocupación por la seguridad podemos cambiar el email y la contraseña sin poner la contraseña actual y sin confirmar los cambios en un correo.

¿Es todo malo? No del todo. El resto de las cosas no parece que estén demasiado mal a priori, pero tener un fallo de seguridad de Blind SQL Injection en un parámetro numérico que va a probar hasta el más aburrido de turno, hace que plantearse en dejar tus datos o tu información, junto con el resto de los 4.5 millones de usuarios que ya lo han hecho, se convierta en algo temerario... ¿cuantos SQLi o BSQLi habrá en el resto de todos los parámetros de todas las partes de la web?

Autor: Juan Luís Valadas