apple

Apple.com victime d'une attaque à l'injection SQL

par Anthony Nelzin le 18.08.2010 à 16:16
Après le possible hack de ses forums le week-end dernier (lire : Les forums d'Apple en supposée révision), le site d'Apple aurait été victime de nouvelles attaques, basées cette fois-ci sur de classiques injections SQL. Ce sont plus particulièrement les pages de promotion des podcasts qui ont été visées, mais Apple.com n'est pas le seul site concerné : au moins 538.000 pages Web auraient été ciblées par la même attaque.

Mary Landesman, chercheuse chez ScanSafe, une filiale de Cisco, remarque que les sites affectés sont des cibles répétées des injections SQL : elle ne saurait dire s'il s'agit d'attaques répétées d'un même groupe, ou de défis entre groupes. Ces failles reposent en général sur le passage d'une commande SQL dans un formulaire de recherche mal conçu : celui-ci interroge le serveur pour effectuer la recherche, passant la commande SQL sans l'avoir filtrée. La commande s'exécute donc, dans ce cas présent pour afficher un iframe. Heureusement, ce cadre était lui-même mal conçu, et la plupart du temps, il n'apparaissait pas.

|  |  

Découvrez le nouvel iPad sur l'Apple Store
Vos réactions (7 réactions)
bardaf67 [18/08/2010 17:33]

Et c'est grave une injection de SQL? (par rapport à une indigestion de Flash par exemple). Y a t'il un anti-venin dispo ou faut juste attendre que ca passe?
StackHeap [18/08/2010 17:33]

Une faille d'injection SQL sur le site d'Apple, mais de mieux en mieux ! Ils vont battre les records là, après la faille PDF et le hack du forum :).
acid_junkie [18/08/2010 18:19]

injection SQL, ze classique des classiques avec l'injection de scripts. Pourtant les moyens pour s'en protéger sont simples à mettre en place, quoique un peu fastidieux. Mais quand la faille est là, c'est foutu.

@bardaf: c'est côté serveur, pas de danger pour toi tant qu'il n'allie pas son injection SQL avec une injection d'un javascript malin. Et encore, il faudrait que ton système soit vraiment très mal protégé. Par contre c'est une crasse pour s'en débarrasser, la solution la plus simple étant la restauration d'un backup de la base de donnée d'avant l'accident.
Thierry61 [18/08/2010 18:52]

wiki, c'est plus fort que toi :

http://fr.wikipedia.org/wiki/Injection_SQL
marc_os [18/08/2010 20:15]

Mais HAL-9000 sait-il ce que c'est qu'un magasin franchisé ?
Je doute...

Quant à l'injection SQL dont serait victime Apple.com, quand on voit comment a été développé le webmail de me.com, un énorme marteau-pilon pour une petite punaise et qui frappe souvent à côté, il ne faut s'étonner de rien.
_io_ [18/08/2010 22:16]

@ Thierry61 : Merci pour l'info, c'est très apprécié et fort utile.
Switcher [19/08/2010 01:08]

Je ne me réjouis guère qu'Apple.com soit désormais intégré sur la liste des sites 'à hacker'...

... mais si cela peut faire prendre conscience à ces Messieurs de Cupertino que la sécurité informatique est essentielle.



Réagir

Cinq consignes avant de réagir :
  1. Rester dans le cadre de la dépêche. Pour des discussions plus générales, vous pouvez utiliser nos forums.
  2. Développer son argumentation. Les messages dont le seul but est de mettre de l'huile sur le feu seront modifiés ou effacés sans préavis par la rédaction.
  3. Respecter les acteurs de l'informatique et les autres lecteurs. Les messages agressifs, vulgaires, haineux, etc. seront modifiés ou effacés sans préavis par la rédaction.
  4. Pour toute remarque concernant le contenu de l'article, pour nous signaler une erreur, une faute d'orthographe, une omission, merci de nous contacter exclusivement par e-mail.
  5. Relisez-vous, et pour les utilisateurs de Safari profitez de l'aide du navigateur : activez le menu édition > Orthographe > Vérifier l'orthographe lors de la frappe.