Temukan Kerentanan XSS di Domain iCloud, Bug Hunter Ini Terima US$ 5.000
Logo Apple | Foto: Pixabay
Cyberthreat.id – Apple menyatakan telah menambal kerentanan pada domain iCloud (icloud.com) yang rawan dieksploitasi peretas dengan teknik serangan cros-site scripting (XSS).
Kerentanan tersebut sebelumnya ditemukan oleh peneliti keamanan siber juga bug hunter (pemburu kerentanan) Vishal Bharad.
Berkat kerentanan yang dilaporkan ke Apple pada 7 Agustus 2020, ia menerima hadiah atas jerih payahnya itu sebesar US$ 5.000 (sekitar Rp 70 juta) pada 9 Oktober 2020.
Sekadar diketahui, kerentanan XSS atau disebut juga “persistent XSSS” dapat dimanfaatkan oleh peretas untuk menyimpan muatan (payload) di server target. Peretas pun bisa memasukkan skrip berbahaya ke situs web, lalu memakainya untuk mencuri cookies, session tokens, dan data browser.
XSS adalah jenis serangan injeksi, di mana skrip berbahaya (malicious scripts) disuntikkan ke situs web tepercaya. Serangan ini akan seolah-olah datang dari situs tersebut. Akibat serangan ini antara lain penyerang dapat mem-bypass keamanan di sisi klien, mendapatkan informasi sensitif, atau menyimpan aplikasi berbahaya. Sebagian serangan XSS dilakukan dalam bentuk browser-side script.
Baca:
- Serangan Siber XSS Terbanyak di Indonesia, Apa Itu?
- Teknik XSS Serangan Favorit Hacker Sepanjang 2019
Menurut Bharad, kelemahan the XSS di icloud.com ditemukan di fitur Page/Keynote.
Untuk memicu terjadinya bug, menurut dia, peretas memang perlu membuat “Page” atau “Keynote baru dengan muatan XSS pada kolom nama.
Konten ini selanjutnya perlu disimpan atau dikirim maupun dibagi dengan pengguna lain. Seorang peretas kemudian akan diminta membuat satu atau dua perubahan pada konten berbahaya, lalu menyimpannya kembali, dan masuk ke "Settings" dan “Browser All Versions"
“Setelah mengklik pilihan tersebut, muatan XSS akan mulai aktif,” kata Bharad seperti dikutip dari ZDNet, diakses Selasa (23 Februari 2021) yang juga membuktikan kerentanan tersebut melalui video bukti konsep (PoC).[]
