Scopre un bug critico di Twitter, ma riceve un ban, non una ricompensa

Per più di un anno, sarebbe bastato un clic su un link fraudolento per consentire a malintenzionati di prendere il controllo completo degli account personali degli utenti di X/Twitter. La vulnerabilità è stata resa pubblica nella giornata di mercoledì, dopo che è stata risolta. Ma, sebbene in casi come questi vi sia sempre un qualche tipo di ricompensa per lo sviluppatore che individua per primo la vulnerabilità, in questo caso è arrivata solamente una reprimenda.

Invece di assegnare una ricompensa in denaro del programma bug bounty di Twitter, all'utente in questione è stato proibito di far ritorno sulla piattaforma per l'individuazione dei bug della piattaforma. Si tratta dell'utente riconosciuto con il nickname @rabbit_2333, che ha condiviso come una vulnerabilità XSS sul sottodominio di analisi di Twitter poteva essere sfruttata per fornire a un utente malintenzionato l'accesso al profilo di una terza parte e la possibilità di fare quasi tutto ad eccezione del cambio della password dell'account.

Quando si parla di attacchi XSS (cross-site scripting) ci si riferisce all'inserimento di script dannosi nelle pagine Web, mentre con la definizione di CSRF (Cross-site request forgery) alla pratica secondo cui si induce gli utenti a eseguire azioni su un'app Web su cui sono già autenticati. Entrambe le tecniche sono state sfruttate in questo attacco, che avrebbe potuto riguardare gli utenti che usano Twitter tramite il browser web, sia da piattaforma desktop che da mobile.

Non appena si è diffusa la notizia di questa vulnerabilità, Chaofan Shou, cofondatore della piattaforma di analisi Fuzz.Land, è intervenuto per fornire maggiori dettagli. Ha rivelato quanto sia stato facile creare un potente strumento di exploit basato su questa vulnerabilità non risolta e ha fornito una spiegazione dettagliata di come funzionava il bug e dei potenziali danni che avrebbe potuto causare.

La risposta del team X è stata immediata, subito dopo che la vulnerabilità è stata resa pubblica. Nel giro di poche ore il problema è stato risolto, ma @rabbit_2333 non è stato ricompensato per la scoperta. Invece, ha ricevuto una notifica di allontanamento dal programma di bug bounty.

Secondo il team tecnico di X, infatti, l'utente in questione ha reso pubblica la vulnerabilità in modo incauto. Anche la community ha espresso il proprio parere su tutta la situazione, con alcuni membri che hanno preso le difese di @rabbit_2333 mentre altri si sono schierati contro di lui. L'utente si è difeso affermando di aver inizialmente seguito il protocollo corretto: è stato solo quando X ha negato la gravità e l’idoneità per la bounty che ha deciso di rendere tutto pubblico.

Lo scopo dei programmi bug bounty è proprio quello di prevenire casi come questo: si incentivano gli sviluppatori a scoprire bug di sicurezza attraverso ricompense in denaro e al contempo si sottoscrive un accordo per la non divulgazione mentre l'azienda risolve il problema.