Hector Peralta | Bugbounty Space - Rompiendo Microsoft Teams y Electron por 150k - Ekoparty 2022

Ekoparty 2022 - Maintrack talks
Rompiendo Microsoft Teams y Electron por 150k

El framework electron es utilizado por miles de organizaciones abarcando todo tipo de industrias para desarrollar software multi-plataforma. Permite crear aplicaciones de escritorio con tecnologías web como JavaScript, HTML y CSS. Al encapsular contenido web en una aplicación de escritorio, está expuesto a vulnerabilidades propias de aplicaciones de web, como por ejemplo XSS. A fin de prevenir el uso de estos errores como punto de entrada para tomar ventaja del contexto fuera de un navegador web y acceder al sistema operativo, la documentación ofrece guías de desarrollo, publicando prácticas recomendadas y opciones de seguridad que pueden habilitarse. Originalmente estas medidas eran opcionales, por lo que la seguridad quedaba en manos del equipo de desarrollo propio de cada aplicación. Este enfoque era propenso a dejar aplicaciones altamente vulnerables, en consecuencia, estas medidas fueron transferidas a la configuración por defecto. Esta investigación permitió identificar que el método tradicional de explotar errores en aplicaciones electron no era viable ya que las actualizaciones en la configuración por defecto redujeron notablemente la posibilidad de encontrar errores de configuración típicos. Por consiguiente, a través de la lógica de las aplicaciones y características propias del framework, fueron encontrados vectores de ataque adicionales, los cuales permiten escalar vulnerabilidades de poco impacto o incluso características de la aplicación en vulnerabilidades críticas como ejecución arbitraria de código, a pesar de encontrarse la configuración de seguridad y las prácticas recomendadas en uso.

Hector Peralta: "Soy de Argentina y tengo 32 años. Entré a este ámbito laboral porque perdí mi trabajo en 2018, al solo tener título secundario y no poseer educación universitaria o certificados estuve más de un año sin encontrar un trabajo estable. En diciembre de 2019 descubrí que había gente ganando dinero encontrando errores en aplicaciones web y que era posible aprenderlo de forma autodidacta, por lo que decidí buscar la forma de hacerlo. Desde ese momento logre obtener múltiples reconocimientos por parte de empresas líder en el campo informático, incluyendo una entrada ganadora en competencia de hackeo pwn2own 2022, un lugar en el ranking anual por dos años consecutivos donde se destacan los investigadores de seguridad de más relevantes de Microsoft MSRC 2020/2021 y MSRC 2021/2022, una entrevista para la sección Researcher spotlight en el blog de seguridad de Microsoft, una entrevista en el blog de Hackerone - Hacker Spotlight y una presentación en la Ekoparty 2021 – Bug bounty space."

--

Seguinos en la redes:

Twitter:   / ekoparty  
LinkedIn:   / 1053378  
Instagram:   / ekoparty  
Facebook: https://www.facebook/ekopartyconference
Twitch:   / ekoparty  

Visitá nuestra web: https://www.ekoparty.org/