Celah Keamanan pada Youtube | Vulnerability

Seorang pakar keamanan telah menemukan sebuah celah kritikal pada website penyedia layanan streaming terbesar milik Google. Ya... YOUTUBE.

Celah ini dapat anda gunakan untuk memposting sebuah komentar dari seseorang yang anda inginkan pada video anda. Misalkan, anda telah mengupload video pada akun Youtube anda, kemudian anda ingin presiden Barack Obama, Menteri Pertahanan, ataupun Justing Bieber (*eh..) mengomentari video anda, gampang saja. Gampang saja, anda dapat menggunakan celah ini.

Celah ini ditemukan oleh pakar keamanan bernama Ahmed Aboul-Ela dan Ibrahim M. El-Sayed dari Mesir. Mereka mengaku telah menemukan trik sederhana untuk membuat (lebih tepatnya meng-copy) sebuah komentar pada sebuah video kemudian mem-paste-kannya pada video mereka tanpa harus menggunakan akun yang bersangkuta. Tidak hanya itu, anda bisa membuat sebuah komentar pada setiap discussion board pada Youtube muncul pada komentar video atau discussion board anda.

Bagaimana celah ini bisa dieksploitasi?
Well, sebernarnya sangat sederhana. Ketika pemilik video mengaktifkan fitur "Hold all coments for review" semua komen akan ditahan untuk di-review sehingga komentar dapat dikontrol sebelum akhirnya komentar diposting. Setiap komentar akan muncul pada https://www.youtube.com/comments dengan pilihan "approve" untuk memposting komentar dan "remove" untuk menghapus komentar.

Pada saat salah satu komentar anda approve sebuah request akan dikirimkan. Request tersebut mempunyai beberapa parameter, antara lain comment_id dan video_id. Ketika anda mengganti nilai dari video_id dengan nilai yang berbeda anda akan mendapati sebuah error, tapi.. bagaimana jika comment_id yang anda ganti?

Sound interesting, right?

Ok, setelah anda mengganti nilai commend_id dengan nilai pada komentar lain tanpa harus merubah video_id maka komentar anda akan diterima oleh Youtube. Dan komentar tersebut akan berubah menjadi komentar berdasarkan nilai comment_id yang anda inputkan. Komentar tersebut tidak akan hilang dari video aslinya, melainkan hanya di salin saja.

Kalo masih bingung, anda bisa lihat video berikut ini:



Tentu celah ini telah diperbaiki dan jangan harap anda dapat menggunakannya lagi. Mereka berdua mendapatkan bug bounty dari Youtube sebesar $3,133.7 (setara dengan 40juta). WOW....

Tetep semangat ya... sering-sering main ke service nya Google. Kali aja bisa nemu. Heheee...