Slack, een populair medium voor het delen van informatie binnen organisaties en bedrijven, kampte met een bug waardoor gebruikersaccounts overgenomen konden worden. Kwaadwillenden konden zo toegang krijgen tot alle kanalen waar het account lid van was.
Frans Rosén, beveiligingsonderzoeker bij het bedrijf Detectify, ontdekte de bug vorige maand en stelde Slack ervan op de hoogte. Inmiddels is de kwetsbaarheid gerepareerd en zijn de eigenschappen ervan publiekelijk gemaakt. Uit het rapport blijkt dat kwaadwillenden hiermee andermans account konden overnemen en zo toegang konden krijgen tot alle content waar die persoon voor gemachtigd is.
De kwetsbaarheid zat in de manier waarop verschillende systemen van Slack met elkaar communiceren, en dan met name in de implementatie van PostMessage, aldus de ontdekker van de bug. Rosén maakte een exploit door een webpagina op te zetten waarmee authenticatietokens van Slack-gebruikers ontfutseld konden worden. Met deze xoxs-tokens konden kwaadwillenden vervolgens doen alsof zij de eigenaar van dat account waren. Omdat Slack veel gebruikt wordt voor het delen van informatie binnen organisaties en bedrijven, hadden hierdoor mogelijk bedrijfsgeheimen gestolen kunnen worden.
Een woordvoerder van Slack liet weten aan Wired dat het de bug na ontvangst van het rapport van Rosén binnen vijf uur had gerepareerd. Uit de logs is niet gebleken dat er misbruik is gemaakt van de kwetsbaarheid.
/i/2000879019.png?f=fpa)
:strip_exif()/i/1180363441.jpg?f=fpa)
:strip_exif()/i/1399535558.jpeg?f=fpa)
/u/38782/crop6146c7a29805d_cropped.png?f=community){kind=small}
/u/533588/crop5c477836e5227_cropped.png?f=community){kind=small}
:strip_exif()/u/677/crop5e62ccc026e5a_cropped.gif?f=community){kind=small}
:strip_exif()/u/53522/crop583d477015a24.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/279447/crop593f3db0b456b_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/604689/rsz_1triryche.jpg?f=community){kind=small}
/u/591847/crop5fb965d9e3c24_cropped.png?f=community){kind=small}