Sécurité IT : une faille découverte dans l’environnement Kindle d’Amazon

Amazon est le premier vendeur d’e-books au monde. Il apparaît donc logique que l’écosystème de la société soit susceptible d’être piraté.

C’est d’autant plus possible que Daniel Mussler, chercheur indépendant en sécurité informatique, a découvert une faille de sécurité. Elle touche la page Web des Kindle qui prend les noms de « Gérer votre contenu et vos appareils » ou « Gérer vos Kindle ». Le chercheur met à disposition sur son site un livre électronique comme proof of concept de la faille.

La faille mise à jour permet de provoquer des actions sur les navigateurs internet qui visitent une page. Il s’agit d’attaques de type cross-site scripting (XSS) qui sont déclenchées par un script malicieux.

Celui-ci peut se trouver dans les métadonnées associées à un livre numérique ou un document. Il se met en branle dès lors que l’utilisateur qui l’a associé à sa liseuse Kindle visite la page Web dédiée à la gestion des Kindle. Le code malicieux peut prendre cette forme : <script src= »https://www.example.org/script.js »></script>.

L’attaque XSS permet au pirate d’accéder et de transférer les cookies contenant les identifiants de votre compte Amazon. Ce dernier est alors compromis.

La faille était aussi présente avec des logiciels permettant de gérer votre bibliothèque Kindle tels que Calibre mis à jour avec la version 1.80 qui corrige le problème.

Plus que jamais, il faut donc être vigilant quant aux sources d’où proviennent vos e-books, tout comme il est recommandé de l’être avec l’origine des applications dans l’écosystème Android.

C’est embarrassant pour Amazon, d’autant plus que la faille a d’abord été découverte par le chercheur allemand en octobre 2013. le géant du e-commerce l’a comblée en novembre 2013 après avoir été averti.

Mais elle est réapparue subrepticement cet été suite à une mise à jour des pages web Amazon de gestion des Kindle. Le chercheur a alors averti Amazon qui n’avait toujours pas réagi deux mois plus tard, malgré ce coup de semonce.

Le tollé provoqué par cette découverte semble finalement avoir porté ses fruits puisqu’hier la faille a été comblée par Amazon.

Crédit illustration : Pavel Ignatov – Shutterstock.com