Vulnérabilité chez Domino’s Pizza : un hacker finalement paie le livreur !

Ne baver pas !

En effet, grâce à une vulnérabilité dans l’application de commande de Domino’s Pizza, des hackers auraient pu se gaver de pizzas jusqu’à la fin de leur vie !

Cependant depuis “cette faille dans la pizza” a été refermée, selon le consultant sécurité qui l’a trouvée et qui à contenu un cri de joie et une envie frénétique de jus de fruits.

Finis pour vous les Americanos à l’ananas sans limite, et les hot-dogs fourrés en croûte !

Le consultant en sécurité, Paul Price, a expliqué qu’il était assis avec une envie irrésistible de peppéroni un vendredi soir.

Ainsi, il a allumé l’application Domino’s Pizza sur son Android afin de passer commande. Cependant comme il était curieux de savoir comment générer un bon gratuit de 10£, qu’il a vu apparaitre dans un pop-up apparemment de manière aléatoire, il s’est mis à fouiner dans le code de l’application.

Il a trouvé que le code avait été généré du côté serveur via un appel API.

Price a ensuite lancé Burp Proxy, un serveur proxy d’interception pour des tests de sécurité d’applications web, qui agit comme l’homme-du-milieu, entre votre navigateur et l’application cible, vous permettant d’intercepter et de modifier du trafic hHTTP/S passant dans les 2 sens.

Quelque chose lui a tout de suite sauté aux yeux : l’application de commande de Domino’s Pizza traitait elle-même les paiements, du côté client, via une passerelle de paiement, où le trafic pouvait être modifié, contrairement au processus de paiement qui quant à lui était sécurisé, caché du côté serveur, hors de vue.

Price a donc passé commande avec une carte de crédit bidon. La commande a été refusée, bien sûr, et heureusement d’ailleurs.

Cependant ensuite il a intercepté le message et a changé certaines valeurs au sein de la nouvelle commande : plus précisément la valeur du champ <reason> avec la mention ACCEPTED, et le champ <status> avec la valeur 1, pour « accepted ».

Le tour était joué. Il explique ce qu’il a vu au niveau de l’application :

Quelques minutes ont passé et l’application de commande a changé de statut, de “commande” à “préparation”, et enfin à “cuisson”. Je ne pouvais pas supporter l’idée d’attendre 30 minutes supplémentaires pour voir si une Pizza américaine, des cuisses de poulets, un gâteau au chocolat et une glace se présenteraient effectivement à ma porte.

J’ai appelé le restaurant et ils ont confirmé qu’ils avaient bien reçu ma commande et qu’elle serait livrée dans les prochaines 20 minutes. Ma première pensée a été : super. Ma deuxième a été : Zut !

La pizza est arrivée, avec son cortège de friandises sucrées. Cependant Price, en son âme et conscience, ne pouvait pas accepter cette commande ainsi, il a donc payé au livreur les 37€.

Price a souligné que Domino’s a résolu le bug, c’est d’ailleurs la raison pour laquelle il a décidé qu’il était à présent temps de communiquer à ce sujet. Il déclare que les paiements continuent d’être effectués du côté client mais avec des vérifications du côté serveur.

Suivre @SophosFrance
Billet inspiré de “Domino’s hacker gave up free pizza to Do The Right Thing” par Lisa Vaas de Naked Security
Partagez “Vulnérabilité chez Domino’s Pizza : un hacker finalement paie le livreur !” avec http://wp.me/p2YJS1-2CZ