Une faille de l’API vite corrigée assure la sécurité des données

Nous avons le regret de vous informer qu’une vulnérabilité a été identifiée dans l’un de nos services API, plus précisément dans la fonctionnalité qui génère une miniature d’un site web indiqué par l’utilisateur (🤖/html/convert). Ce problème pouvait potentiellement conduire le serveur à divulguer ses propres fichiers système.

Preuves

Le chercheur en sécurité pouvait héberger une page web contenant un code HTML d’iframe spécifique. Lors de l’importation de ce site à l’aide de notre service, le serveur pouvait interpréter la source de l’iframe et afficher des fichiers texte de son système de fichiers dans la miniature du site.

Risques potentiels

Cette vulnérabilité aurait théoriquement pu être exploitée par des utilisateurs de l’API. Une exploitation réussie aurait pu permettre à un attaquant d’afficher des fichiers système sous forme d’images.

Veuillez noter que, même s’il était possible d’afficher ces fichiers, nos machines qui exécutent cette fonction ne contiennent aucun secret. De plus, l’accès aux données des clients nécessiterait de connaître les empreintes UUID associées à leurs données, qui sont presque impossibles à deviner. Nous sommes donc convaincus qu’aucune donnée client n’a été divulguée par cette vulnérabilité.

Mesures correctives

Nous vous présentons nos sincères excuses et vous assurons que nous prenons cette question très au sérieux. La sécurité et la confidentialité des données de nos clients resteront toujours notre priorité absolue.

Dans les 24 heures suivant le signalement de ce problème, le chercheur en sécurité⁠ a confirmé que la vulnérabilité avait été corrigée.

Nous encourageons tous nos utilisateurs à rester vigilants quant à leurs pratiques de sécurité, comme nous le faisons nous-mêmes. Vous pouvez consulter un large ensemble de mesures de sécurité déployées sur /security/, et nous sommes à votre disposition pour toute question ou préoccupation.