Slack-bug gaf hackers toegang tot accounts

PostMessage

Dat ontdekte beveiligingsonderzoeker Frans Rosen, zo weet website Computerworld. Rosen kon toegangstokens voor gebruikersaccounts verkrijgen door een fout in de manier waarop Slack communiceert met de internetbrowser.

‘Slack miste een belangrijke stap bij het gebruiken van een technologie genaamd postMessage’, aldus Rosen. Idealiter valideren diensten die postMessage gebruiken alle data die uitgewisseld worden tussen verschillende schermen.

Slack

De chat-app sloeg die stap over. ‘Niet valideren was voor mij een duidelijke indicatie dat ik kon beginnen met leuke dingen doen’, schrijft Rosen in de probleembeschrijving op de website van beveiligingsbedrijf Detectify.

Tegenover The Next Web laat Slack weten dat dit de reden is waarom het bedrijf investeert in een beloningsprogramma voor het melden van bugs. Nadat Rosen het probleem ontdekte was het binnen vijf uur opgelost.