Уразливості на limit.privatbank.ua
17:23 26.09.2017У серпні, 31.08.2013, я знайшов Cross-Site Scripting, Insufficient Anti-automation та інші уразливості на сайтах http://limit.pb.ua та http://limit.privatbank.ua. Це два домени одного сайту, тому всі уразливості однакові на них обох (зараз limit.pb.ua перенаправляє на limit.privatbank.ua). Тоді у вересні вислав всі ці уразливості банку.
Якщо всі дірки ПриватБанк підтвердив і взяв в роботу, то лише одну найбільш важливу дірку (з витоком даних клієнтів) ПБ виправив через два місяці та пізніше виплатив мені премію. Про інші дірки, як згадана в попередньому пості XSS і ця Insufficient Anti-automation, жодної відповіді за чотири роки я не отримав. Хоча нагадував їм про попередні уразливості в 2014-2016 роках. Торік я виявив, що ПриватБанк вже виправив всі інші уразливості (але без жодних премій мені) шляхом повної переробки сайту.
Стосовно ПриватБанка я вже писав про уразливості на acsk.privatbank.ua та уразливості на limit.privatbank.ua.
Insufficient Anti-automation:
На сторінці http://limit.pb.ua/verify (http://limit.privatbank.ua/verify) немає захисту від автоматизованих атак. Що дозволяє спамити смсками.
Insufficient Anti-automation:
На сторінці http://limit.pb.ua/verifySMS (http://limit.privatbank.ua/verifySMS) немає захисту від автоматизованих атак. Що дозволяє підбирати OTP висланий в смсці.
OTP код всього 4 символи, що всього 10000 комбінацій - це легко підбирається. І немає захисту від підбору OTP. Тому можна легко отримати доступ до акаунту користувача без наявності мобільного телефону жертви, щоб дізнатися кредитний ліміт і змінити його.
Дані уразливості та деякі інші не були виправлені в 2013 році. Але вже в 2016 році всі вони були виправлені. Проте я знайшов нові уразливості на limit.privatbank.ua, про які повідомив ПБ наприкінці минулого року і вони виправили їх.
