Instagram: une faille de sécurité dévoilée par un expert !

Un expert en sécurité a dévoilé une vulnérabilité dans l'app Instagram pour iOS (version 3.1.2) qui peut s'avérer dangereuse en terme de conséquences.

En effet, cette faille qui consiste en échange non sécurisé de certaines données entre l'application et les serveurs de cette dernière (en passant par HTTP), permet à un pirate qui se retrouve sur le même LAN de les intercepter et prendre le contrôle du compte de la victime:

The Instagram app communicates with the Instagram API via HTTP and HTTPs connections.

Highly sensitive activities, such as login and editing profile data, are sent through a secure channel. However, some other request are sent through plain HTTP without a signature, those request could be exploited by an attacker connected to the same LAN of the victim’s iPhone.

The only authentication method for some HTTP calls is an standard cookie that is sent without encryption when the user starts the Instagram app.

An attacker on the same LAN of the victim could launch a simple arpspoofing attack to trick the iPhones into passing port 80 traffic through the attackers machine. When the victim starts the Instagram app a plain text cookie is sent to the Instagram server, once the attacker gets the cookie he is able to craft special HTTP requests for getting data and deleting photos.

L'expert en sécurité a confirmé avoir contacté le service Instagram, en leur signalant cette faille, mais sans obtention de réponse. Il a alors publié les détails de cette faille, en exposant même le code qui permet de l'exploiter. Voilà, par exemple, le code qui permet de supprimer une photo :

# http://instagram.com/api/v1/media/12345678901234567890_123456/delete/

POST /api/v1/media/12345678901234567890_123456/delete/ HTTP/1.1

Accept-Encoding: gzip

Accept-Language: en-us

Connection: keep-alive

Content-Length: 0

Cookie: ds_user_id=USER_ID; igls=USER_NAME; sessionid=SESSION_STRING

User-Agent: Instagram 3.1.2 (iPhone; iPhone OS 6.0; en_US) AppleWebKit/420+

Pour remédier à ce problème, la sécurisation des canaux d'échange est nécessaire.

[Source]