YouTube-bug maakt uitvoeren code mogelijk - update

Door een fout in de verwerking van commentaren op YouTube kan er scriptcode uitgevoerd worden. Door de bug kunnen kwaadwillenden onder andere commentaren onzichtbaar maken of bezoekers naar een malware-site leiden.

De fout lijkt te worden veroorzaakt doordat de videosite ingevoerde comments onvoldoende controleert: een tweede script-tag wordt genegeerd, waardoor geïnjecteerde code in de browser kan worden uitgevoerd. Bij een groeiend aantal video's zou de truc inmiddels worden toegepast, zo melden GoT-gebruikers. Niet alleen zouden comments of video's onzichtbaar gemaakt worden, ook blijkt het mogelijk om YouTube-bezoekers te redirecten naar potentieel gevaarlijke websites.

Op moment van schrijven lijkt YouTube nog geen oplossing te hebben voor de bug, ondanks een eerdere melding in het forum van de videosite. Bezoekers kunnen het probleem deels omzeilen door de comments bij video's standaard uit te schakelen.

Update 16:10: YouTube heeft uit veiligheidsoverwegingen de commentfunctie op zijn site tot nader order uitgeschakeld.

Reacties (132)

[Torrentus]

Imageshack images:
http://img685.imageshack.us/img685/8803/imagepcg.jpg
http://img249.imageshack.us/img249/6189/naamloos3ze.png

Youtube voorbeeldjes:
http://www.youtube.com/wa...T6P4bsg&feature=topvideos
http://www.youtube.com/watch?v=SmtnpXrUI_o
http://www.youtube.com/wa...c_d9GHU&feature=topvideos

Nieuw trending topic in making:
http://twitter.com/search?q=%40youtube



Erg grappig dit, al kan het volgens mij ook wel gevaarlijk zijn. Ik ben al verschillende malen gewoon geredirect naar pornosites en chatboxes. Kwam zelfs terecht op een pagina die direct een Trojan wilde downloaden. Gevaarlijk als je geen goede virusscanner hebt.

Zou 't vandaag nog opgelost worden?

[Reactie gewijzigd door Torrentus op 25 juli 2024 19:41]

[Baggeraar]

Zou 't vandaag nog opgelost worden?

De comments van alle video's staan nu in een zogenaamde veiligheids modus dus de code wordt niet meer automatisch uitgevoerd.
Lijkt me dus wel dat ze er mee bezig zijn

[thedicemaster]

ik wordt nog steeds doorgestuurd naar een andere site als ik de comments bekijk bij bepaalde filmpjes.

[Verwijderd]

Op het moment werkt alles weer gewoon op YT bij mij (alleen met chrome getest)

[Finraziel]

Op een kleiner scherm dan full-hd moet je even wat meer moeite doen om die screens van jou te kunnen bekijken, was handig geweest als je je browser even niet fullscreen had staan.
Moderatiecommentaar hoort trouwens niet in je post zelf, maar het is ondertussen toch al recht getrokken.

[Verwijderd]

Jammer dat je niet even spoiler waarschuwing geeft voor de eerste imageshack link, ik heb ufc 116 opgenomen en nog niet gekeken...
Erg toevallig en ik neem het je ook niet kwalijk, maar m'n avond is wel aan gort nu

[CodeCaster]

Maak je niet druk man, het is maar een wedstrijd

[Verwijderd]

Toch zonde van die 50 euro, naja, volgende keer niet meer op forums komen tot de boel gekeken is

[Baggeraar]

Het is al GEFIXT, snel werk van google.

[jeffhuys]

Origin:

/b/, what else.

Ik meen het, 4chan started it... Again.

[strijkijzer2]

OUR HOUR IS NOT OVER YET FAGS.

Create video response
Name of video = script of choice
???
WORKING, VERIFIED AND UNABLE TO BE FIXED EASILY BY YOUTUBE.

Enjoy!

het is nog niet klaar ook

[Verwijderd]

4chan heeft er zelf overigens niks mee te maken, men is er al lang achter dat ebaumsworld achter deze actie zat.

[Verwijderd]

Psst, regel 1 en 2 van het internet

[Reactie gewijzigd door Verwijderd op 25 juli 2024 19:41]

[twisterNL]

Niet op youtube gaan op dit moment. Nu word er geprobeerd om account gegevens te stelen. Ook zijn er verhalen dat System32 verwijderd kan worden van je computer als je IE of opera gebruikt. Ook word je overal naartoe geleid...

Nou ja, als je slim bent blijf je er weg en anders is het je eigen risico.

[Room42]

Ook zijn er verhalen dat System32 verwijderd kan worden

Dat is alleen technisch onmogelijk omdat er bestanden in gebruik zijn. Maar dat men onbeperkt javascript uit kan voeren is wel degelijk kwalijk en niet zonder risico.

[johnkeates]

Bij mij mogen ze system32 wel wegdoen hoor, ik gebruik toch geen windows.

[The_Worst]

Sinds wanneer heeft JavaScript toegang tot het bestandssysteem?

[hostname]

je wordt weggemod omdat je onzin praat. De Youtube-exploit maakt het mogelijk om willekeurige JavaScript code uit te voeren. Deze code staat nu op youtube; maar dat kan op iedere site staan. JavaScript heeft totaal geen toegang tot je bestandssysteem. IE en Opera ondersteunen wel de file:/// urls, maar daar kan JavaScript niet bij. Bovendien is het verwijderen van bestanden al helemaal onmogelijk via JavaScript. Gewoon bangmakerij dus.

[Room42]

Nee, dat kan niet. Je kunt geen parameters meegeven in een file:///-url

Het is gevaarlijker dat ze naar externe sites kunnen linken/redirecten dan dat ze naar je locale files kunnen linken.

[Reactie gewijzigd door Room42 op 25 juli 2024 19:41]

[jeffhuys]

Je kunt geen parameters meegeven in een file:///-url

Ahhh ok! I stand corrected. Maar dan nog is het raadzaam om er even niet heen te gaan, haha.

[Verwijderd]

maak maar eens een javascriptje die dat doet directe file acces heb je niet

[Verwijderd]

Dan zullen ze wel eerst zelf die map op mijn PC moeten aanmaken, want ik heb hier geen PC's die een system32-map hebben.

Overigens kun je die map sowieso niet verwijderen. Je hebt namelijk helemaal geen rechten om die bestanden te verwijderen. Je zou dus eerst het ownership moeten overhevelen naar de ingelogde gebruiker. Als je dat hebt gedaan kom je nog niet ver, aangezien een groot gedeelte van die bestanden in gebruik zijn als de PC is opgestart, dus dan kun je ze sowieso niet verwijderen.

[DLGandalf]

ach er zijn vast wel wat oude exploits onder XP die dat wel kunnen waar je nog standaard administrator bent. Maar iemand die goed gepatched is heeft waarschijnlijk weinig te vrezen.

[kamustra]

Waarom zou dit alleen met deze browsers gaan? Welke overeenkomsten hebben deze die andere browsers niet hebben?

[jaricool]

Bij sommige filmpjes staat er nu :
Reacties op deze video zijn verborgen door de veiligheidsmodus.
Heeft de maker dat dan gedaan of youtube zelf?

[G70boX]

Youtube heeft dit voor alle videos gedaan voor zover ik zie.

[sjaakwortel]

tis bij alle filmpjes nu volgens mij, zal youtube zelf wel zijn

[Manuel]

Hoe kan een groot bedrijf als Google dit nou laten gebeuren? Ik snap sowieso niet waarom ze überhaupt HTML toestaan in de reacties maar dat is een tweede vraag. Google geeft zelf les in beveiligen terwijl ze YouTube niet eens genoeg hebben beveiligd.

Ik denk nu dat Google maar eens de werknemers mogen ontslaan die dit hebben kunnen laten gebeuren. Dit soort fouten verwacht je namelijk van een beginner maar niet van personen die al X jaar ervaring hebben.

[Jarige]

Hoe kan een groot bedrijf als Google dit nou laten gebeuren?

Omdat er mensen werken.

Ik snap sowieso niet waarom ze überhaupt HTML toestaan in de reacties maar dat is een tweede vraag. Google geeft zelf les in beveiligen terwijl ze YouTube niet eens genoeg hebben beveiligd.

Ze staan geen HTML toe. Er was alleen iets wat blijkbaar wel foutief toegelaten werd en dat is dus misbruikt. Vanzelfsprekend heeft Google wat gedaan aan hun beveiliging. Het is oersimpel om een onbeveiligde site te hacken. Naar mijn weten is dit een van de grootste hacks op Youtube sinds de oprichting en het is best een prestatie dat het pas na al die jaren gebeurt! Want dat het zou gebeuren is op zich onvermijdelijk met zo'n populaire site...

[drdelta]

Desalniettemin is dit iets wat niet had mogen gebeuren. Als dergelijk groot bedrijf moet je ook zelf proberen je dingen te 'hacken' om op vrijwel alle mogelijk manieren ervoor dat te zorgen (en te checken) of je product veilig is. Ik zou niet graag willen hebben dat mijn dochter een filmpje had gezien van het kaliber 2girls1cup/1man1jar etc. terwijl zij een muziekclip van een of andere band wilde bekijken.

[Manuel]

Indien er machines zouden werken, zou het dan wel acceptabel zijn geweest? Dat lijkt mij dus niet, dit is een fout die gewoon niet had mogen gebeuren.

Ze staan geen HTML toe. Er was alleen iets wat blijkbaar wel foutief toegelaten werd en dat is dus misbruikt. Vanzelfsprekend heeft Google wat gedaan aan hun beveiliging. Het is oersimpel om een onbeveiligde site te hacken. Naar mijn weten is dit een van de grootste hacks op Youtube sinds de oprichting en het is best een prestatie dat het pas na al die jaren gebeurt! Want dat het zou gebeuren is op zich onvermijdelijk met zo'n populaire site...

Ze hebben blijkbaar wel HTML toegelaten op hun systeem omdat er nog een debug mode op zat. Hoe eBaumsWorld aan deze constant (als ik het zo kan noemen) is gekomen is en blijft een raadsel, zal wel intern zijn gebeurd of met een beetje heel erg veel geluk.

Maar goed.. De schade die deze hackers hebben is niet van grote proportie als ik de XSS injectie zie. Hoogstens zal er wat mal-ware zijn gedownload maar daar zal het ook wel bij zijn gebleven.

[Eliaz]

Dan vraag ik mij toch wel af hoe het staat met de andere services van Google met betrekking tot XSS lekken.

[Soultaker]

Dat kun je je afvragen inderdaad, maar je moet er wel bij bedenken dat YouTube niet door Google zelf ontwikkeld is. Het bedrijf dat YouTube ontwikkelde is weliswaar opgekocht door Google, maar was en is nog steeds een aparte organisatie. Je kunt dus niet zomaar aannemen dat Google er dezelfde ontwikkelingsmethodologie op nahoudt als YouTube.

[graceful]

Als ik het goed heb heeft het Google Team de reactie methode volledig 'opnieuw' gecode, vroeger was deze module(?) totaal anders, lijkt me niet dat ze dit op basis van oude code hebben gedaan. Hoeft maar ergens iets vergeten te zijn en dit soort lekken zijn mogelijk.

Apart is echter dat dit niet getest is sinds ze zelf een website leveren die je informatie geeft over XSS lekken.

[Niosus]

Google wordt nog steeds gerund door mensen. Af en toe maken mensen fouten. Het is binnen de paar uur opgelost, en ik denk dat ze nu de hele site aan het nakijken zijn voor gelijkaardige exploits. Al bij al zeer netjes opgelost om een feestdag te zijn

[sfc1971]

Dat het op nieuw geschreven is NA de overname betekend niet dat het "Google Team" (wat dat ook zou mogen wezen) er maar iets mee te maken heb gehad.

Wat is het "Google Team"?

De search engine? De ad people? De search appliance? Gmail? Google Docs?

Denk zelf dat Youtube laag in de rang orde staat. Waar werk je liever aan. Youtube or Wave?

[Verwijderd]

Volgens mij zijn de comments nu overal verborgen 'door de veiligheidsmodus'.
Tijdelijke oplossing, maar nu kun je YT tenminste weer gebruiken

[Kaasje123]

Yep kwam ik ook zojuist achter. Toch wel erg slecht van Youtube beheerders. Je zou toch verwachten dat voor dit soort extreem populaire sites goed gekeken wordt of de veiligheid op orde is?

[hackerhater]

gezien in het bericht "dubbele scripttag" staat verwacht ik dat er wel een beveiliging op staat, maar dat crackers een manier hebben gevonden er langs te komen.

Het blijft een kat en muis spel

[Milou]

Wrong.
Oorspronkelijke code was ervoor bedoeld dat mensen niet meer konden reageren.
Youtube is gewoon te gebruiken.
/b/+/g/ is oorzaak en de mensen die daarop zitten.
Er zijn al betere codes die ook je browser vast laten lopen als je naar die video gaat.
Source: http://boards.4chan.org/g/res/11734472

edit: na typen van dit bericht las ik dat youtube blijkbaar in veilige modus ofzo is gegaan?
Edit2: Ik faal dus echt hard. alles wat hier staat klopt dus niets meer van...

[Reactie gewijzigd door Milou op 25 juli 2024 19:41]

[The_Worst]

Het is dus volgens mij ook zeer risicovol. Niet zozeer dat je wachtwoord gestolen wordt maar het zou me niet verbazen als hierdoor session-hijacking mogelijk wordt. De bug is pas sinds kort bekend, dus wie weet wat er allemaal mogelijk gaat zijn.

Het is daarnaast ook 4th of July (Onafhankelijkheidsdag) in Amerika dus wie weet hoe lang een oplossing op zich laat wachten.

[SuperDre]

Niet alleen is de bug pas bekend, de vraag is natuurlijk hoe lang het al bekend is onder de 'hackers' en hoe lang deze al misbruikt wordt...

[frickY]

XSS is één van de meest voorkomende veiligheidslekken op websites. Slordigheid van de developers, maar wel één die je erg makkelijk maakt.
Op Tweakers is, met alle respect voor de developers, waarschijnlijk ook niet alles 100% afgeschermt.

Via dit lek is onder andere session-hijacking mogelijk, en kan met dus je account 'stelen'. Ben benieuwd hoelang dit underground al bekend was tot 4chan er mee aan de haal ging.

[sfranken]

In theorie is alles 100% af te schermen. De praktijk werkt echter anders. Of, zoals een docent van mij dat zei:

If you make something idiot proof, the Universe provides a bigger idiot

[link0007]

als ze nu "<script>" blokken, wat doen ze dan met "<\tscript>" (let op de \t, een tab).. Of zelfs "<sc\tript>" (welke in sommige browsers ook werkt). Of <scr<script>ipt> (welke zou worden gefiltert tot <script>)

Iemand die dit wil testen? Ik heb geen youtube account en ben ook niet van plan een te maken hiervoor.

[Verwijderd]

Volgens mij zetten ze gewoon < om naar &lt; en > om naar &gt;. Zo voorkom je alle HTML tags. Dan kan je dingen als <b>..</b>, <u>...</u> eventueel weer parsen. Handiger is natuurlijk eigen BB-code, of wat ze in GMail doen (bijv. met sterretjes wordt *bold*). Maar volgens mij is op YouTube alleen plain-text in comments / titels toegestaan.

Ik snap dan ook niet hoe dit eigenlijk mogelijk kan zijn. Volgens mij is het gewoon een klassiek gevalletje van preg_replace verkeerd gebruiken, zonder de /g modifier. Zie namelijk het voorbeeld van de link in de post:

<div class="comment-text">
<script><script>IF_HTML_FUNCTION<wbr>?<h1><marquee><font color="red"><u>Hacked You All! Haha!!!<script>
</div>

De eerste < en > worden aangepast, maar daarna blijkbaar niet meer. Vandaar dat je in dergelijke posts steeds ziet staan "<script>", als gewone tekst, en daarna niet meer. Als je preg_replace doet (even een PHP voorbeeld), en dan niet /g aan het eind typt, wordt maar één keer de tag weg gehaald.

Wat mij ook lijkt is dat deze fout er al héél lang in zit, maar gewoon nooit ontdekt is. Maar ik moet zeggen dat het wel een gigantische blunder is...

Het punt is dat niet alleen <script> tags potentieel gevaarlijk zijn, ook <object>, <embed>, etc. kunnen nare dingen uithalen.

Edit: tags veranderd. @Tweakers, eigenlijk hoor je ook & naar &amp; te replacen dan kan je &'s gewoon typen

[Reactie gewijzigd door Verwijderd op 25 juli 2024 19:41]

[AW_Bos]

Dit geloof je toch ook niet. XXS is op de simpelste manier gewoon mogelijk op 's werelds grootste en bekendste video-platform ter wereld?
Ik ben benieuwd van YT nou met die gepostte crap gaat doen? Zelf verwijderen, of eerder onschadelijk maken?

[DefLite]

Het is al onschadelijk gemaakt, zo te zien verwijdert YouTube het grootste gedeelte zelf.

[Verwijderd]

De comments worden standaard niet geladen. Laadt je ze wel, dan werkt al het script nog. Het is dus (nog) niet onschadelijk gemaakt.

[Voxyn]

Ik zou je kinderen even niet op youtube laten komen, ik zocht zojuist een filmpje voor mijn 7 jarige neefje op van een of andere kinderserie en werd geforwarded naar 1 jar 1 man dus....

Ontopic: vreemd dat het na al die jaren nu pas ontdekt word of zit de bug er pas sinds een van de laatste veranderingen erin?