Vulnerabilidad en Youtube permitió borrar cualquier video

El investigador de seguridad Kamil Hismatullin descubrió una vulnerabilidad (grave) en la plataforma de vídeos online Youtube mediante la cual, aprovechando un problema en la lógica de una de las funcionalidades, podría borrar cualquier vídeo subido de cualquier usuario.

El script en cuestión se encuentra en la siguiente URL:

• https://www.youtube.com/live_events_edit_status_ajax?action_delete_live_event=1

El cual acepta, mediante método HTTP POST, dos parámetros:

• event_id: identificador del video a eliminar
• session_token: token de sesión válido de cualquier usuario diferente al del propietario del vídeo a eliminar

Esta funcionalidad se utiliza dentro de la aplicación YouTube Creator Studio, la aplicación de edición de videos para usuarios de Youtube tanto para iOS como para Android, en la que entre otras funciones, también permite la gestión de los videos.

A continuación enlazamos el video que demuestra la vulnerabilidad y su explotación:

Como veréis, una vulnerabilidad grave, con una explotabilidad muy sencilla. Si bien Kamil no ha recibido una gran cantidad de dinero por esta vulnerabilidad en base a su impacto (5.000$), por apenas 5/6 horas de investigación no está mal.

Imaginad por un momento haber elegido otros videos más importantes para ser eliminados...

[+] How I could delete any video on YouTube

Leer más...

Videos de las UPM TASSI 2013

Desde la UPM llevan celebrando las TASSI (Temas Avanzados en Seguridad y Sociedad de la Información) desde febrero de este año, en lo que es ya su novena edición, a razón de una pequeña charla de hora y media cada quince días.

El pasado 17 de abril tuve el honor de participar en una de estas clases y ya se pueden ver el vídeo en el canal oficial de Youtube la Universidad Politécnica de Madrid.

La conferencia era una introducción a los conceptos y ámbito de la explotación de vulnerabilidades en un test de intrusión. Porque se hace este tipo de actividades y alguna demostración sencilla de cómo funcionan.

No es el único, y todos los anteriores también han sido publicados. También están las presentaciones y materiales de otros años anteriores en el histórico que mantienen en la página web.

Dejo aquí todos los de la edición 2013 a falta de un par que estarán muy pronto en el mismo sitio.

Leer más...

Configuración de privacidad en Youtube

Mucho se ha hablado sobre las redes sociales y los problemas que presentan de privacidad para los usuarios con los contenidos que publican sin control.

Pero el problema no es exclusivo de las redes sociales, ya que el (cansino) concepto 2.0 introduce la interacción entre usuarios en cualquier servicio web, por lo que en todas ellas es necesario revisar muy detenidamente las opciones y configuración de nuestros perfiles.

Youtube tiene un importante componente de comunidad y múltiples parámetros que debemos considerar cuando usemos sus servicios.

Algo que pocos usuarios conocen, por ejemplo, es que sus videos favoritos son mostrados directamente en su perfil público, accesible desde: http://www.youtube.com/user/[nombre_de_usuario], en mi caso he decidido eliminar algunos que mostraban como maquillar ojos claros y cursos para aprender a hablar en élfico... aficiones que prefiero mantener en secreto.

Para acceder a la configuración y modificar este comportamiento, desde el menú ubicado en la esquina superior derecha tras pulsar sobre el nombre de usuario, se puede acceder a la opción de "Cuenta", que mostrará algunos parámetros interesantes como los siguientes:

• Configuración del perfil: con datos personales como son el nombre, apellidos, dirección, edad, estudios y demás información típica de un perfil.

• Opciones de Privacidad: en las que se define si nuestros videos serán encontrados mediante correo electrónico, si deseamos recibir publicidad o si queremos que se muestren estadísticas públicamente en la web de nuestros videos.

• Compartir elementos: bajo la pestaña "Sharing", se encuentran algunas de las opciones más interesantes, como por ejemplo, que en la página de nuestro perfil se muestre la actividad que realizamos; esto puede incluir desde valoraciones a un video, comentarios, nuevos videos subidos o videos que añadimos a nuestros favoritos.

• Opciones de autenticación: es posible autenticar en Youtube con el usuario de Google si vinculamos una cuenta con la otra, lo curioso es que nuestra vieja cuenta de Youtube permanecerá estando activa, pudiendo acceder con ambas contraseñas para un mismo nombre de usuario. Además, es conveniente revisar si hemos añadido alguna web de un servicio tercero como autorizado dentro del portal de Youtube.

Leer más...

SecurityTube, el youtube de la seguridad

Me hace especial gracia la forma en la que una idea genérica va evolucionando según pasa el tiempo y acaba teniendo toda una legión de ideas-derivadas en función de los diferentes contextos. En este caso voy a hablar de SecurityTube, que, como es fácil imaginar, se trata de un clon de Youtube enfocado a la seguridad informática.

A primera vista puede parecer una excentricidad, pero ojeando mas en profundidad su contenido, uno puede encontrar vídeos muy interesantes sobre herramientas, sistemas operativos, trucos y un largo etcétera bastante pedagógico.

La idea no es precisamente nueva, desde hace tiempo existen los vídeo-tutoriales sobre seguridad, por ejemplo uno con bastante solera es theacademy

¿Alguien se anima a subir un vídeo?

Leer más...