Ces informations ne sont pas destinées à être partagées à des pirates mais bien de faire prendre conscience de la nécessité d'une politique globale en faveur d'une sécurité transparente. Je ne serais pas responsable de toutes mauvaises utilisations de ces informations dans le cas où l'entreprise n'a pas pris au sérieux mon alerte.

Toute l'infrastructure du groupe AMTT, qui possède par exemple Club Auto, est à revoir. Les développeurs en ont conscience, et la direction moins : problème typique de l'in-securité numérique. Cela est d'autant plus problématique quand l'infrastructure est en très mauvaises état. Les vulnérabilités de type SQL sont vraiment nombreuses, et présentes sur une bonne partie de l'infrastructure. La criticité est importante.

Listes non exhaustives des sites concernés :

  • http://amtt.fr
  • http://www.deltatv.fr
  • http://clubauto-nordeurope.creditmutuel.fr
  • http://www.clubauto-macsf.com
  • http://clubauto-ujsf.com
  • http://www.clubauto-butterfly.com
  • http://www.carami.fr
  • http://partners-finances-auto.com
  • http://www.club-auto.com
  • http://www.amiauto.fr

Le soucis est d'autant plus critique que cette plateforme utilise le compte Administrateur pour les connexions à la BDD donc la totalité de l'infrastructure est compromise en 1 seule vulnérabilité.

  • DBMS : Microsoft SQL Server 2008
  • OS : Windows
  • Hôte : AMTT-SQL1
  • Utilisateur : sa
  • Nom de la BDD : Winelite
  • Fichiers concernés : xhr_bonnes_affaires.php / modele.php / journal.php
  • Type : GET / POST / GET
  • Paramètre : marque ou gamme ou carburant / mod / edition
  • Admin : Oui

J'ai trouvé de nombreuses vulnérabilités de type XSS mais voici les plus simples : https://www.club-auto.com/shared/views/global/photos.php?vue=0&alias=17kugatitaniumod2fb&make=%3Cscript%3Ealert('Failles XSS !');%3C/script%3E&model=%3Cscript%3Ealert(document.cookie);%3C/script%3E

A cela s'ajoute une jolie FPD sur cette page : Fatal error: Call to a member function xpath() on string in /var/www/websites/_shared/lib/class/class.gamme.php on line 51

Juste pour la forme, je ne suis responsable d'aucune utilisation mal intentionnée de ces informations.

Article Suivant Article Précédent