CSRF vulnerability in LinkedIn
Vulnerabilidad CSRF en la funcionalidad "Add connections" y "Send Invitation" de LinkedIn que permitía forzar el envío de invitaciones sin consentimiento del usuario.
Background
LinkedIn es una plataforma de redes sociales profesionales lanzada el 5 de mayo de 2003. En el tercer trimestre de 2012, el servicio contaba con más de 175 millones de usuarios.
Description
La vulnerabilidad explota CSRF en las funcionalidades "Add connections" y "Send Invitation" de LinkedIn. El sistema se basa únicamente en cookies de sesión para la autenticación sin validación adecuada de tokens CSRF. Los atacantes pueden crear páginas web maliciosas que fuerzan a usuarios autenticados a enviar invitaciones a direcciones controladas por el atacante mediante solicitudes HTTP GET.
Business impact
Los atacantes obtienen acceso no autorizado a la información compartida por los usuarios añadidos a sus contactos sin el conocimiento o consentimiento del usuario.
Systems affected
www.linkedin.com
Solution
El vendor corrigió la vulnerabilidad.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.