Une faille de sécurité Instagram permet aux attaquants de supprimer des photos et de prendre en charge des comptes

Instagram est peut-être devenue l'application de partage de photos la plus populaire et la plus utilisée pour les plateformes iOS et Android, mais comme toute autre application, elle n'est pas parfaite. En fait, une nouvelle échappatoire a été découverte récemment. Selon les experts, la nouvelle faille de sécurité Instagram pourrait permettre à des attaquants de supprimer des photos ou même de prendre en charge des comptes. Cette faille a été découverte dans la version Instagram 3.1.2 s'exécutant sur un appareil iOS.

L'API Instagram utilise les connexions HTTP et HTTPS pour envoyer des demandes et des données. Les informations sensibles telles que les données de modification de profil et les informations d'identification de connexion sont souvent envoyées via HTTPS car il s'agit d'un canal sécurisé. Cependant, les gens de reventlov.com ont récemment découvert que certaines données étaient en fait envoyées par l’autre canal, ce qui rendait la vulnérabilité à l’exploitation exploitable par certains attaquants qui auraient pu connaître l’échappatoire.

Si les données sont envoyées via le canal HTTP, la seule forme d'authentification requise est un cookie standard qui est souvent envoyé sans chiffrement à chaque fois qu'un utilisateur lance l'application Instagram. Les attaquants qui se trouvent peut-être sur le même réseau que l'iPhone ou l'iPad peuvent être en mesure d'intercepter les données par le biais d'une simple attaque d'arpspoofing et peuvent exploiter les informations à leur guise. Si cela se produit et que des attaquants peuvent s'authentifier à l'aide d'informations interceptées, ils ont déjà un accès ultime au compte et peuvent modifier les identifiants de connexion à tout moment ou supprimer des photos.

Les personnes qui ont découvert la faille l'ont rendue publique le 10 novembre et ont contacté Instagram à ce sujet un jour plus tard, mais tout ce qu'elles ont obtenu est une réponse automatisée. Jusqu'à présent, ce problème demeurait toujours d'actualité. Par conséquent, les propriétaires d'appareils iOS susceptibles d'utiliser Instagram plus souvent doivent utiliser le canal HTTPS la plupart du temps, ou ne jamais utiliser n'importe quel point d'accès WiFi ouvert.

Ce problème concerne peut-être uniquement Instagram, mais le plus souvent, les attaquants savent exactement ce qu’il faut trouver pour pouvoir accéder à d’autres comptes, notamment Facebook, Twitter et même des courriers électroniques. Les mesures de précaution doivent être prises en particulier par les personnes susceptibles de stocker des données sensibles sur leurs appareils.

[source: Reventlov]