El registro de dominios GoDaddy fue parchado ayer para una vulnerabilidad de falsificación de petición de cross-site (CSRF, por sus siglas en inglés) que podría haber permitido a un atacante cambiar la configuración del dominio de un sitio registrado en GoDaddy.

La falla se reportó el sábado y fue parchada en 48 horas, de acuerdo con Dylan Saccomanni, consultor de pruebas de penetración e investigador de seguridad de aplicaciones web en Nueva York.

"Esta vulnerabilidad radica en la configuración del dominio de GoDaddy (no en los ajustes de cuenta). Si se dirige a "dominios" cuando inicia sesión en GoDaddy, se le presentarán varias opciones y configuraciones que se pueden editar para el dominio específico que eligió", dijo Saccomanni. "Ahí es donde se encuentra el problema".

La falsificación de petición de cross-site es una vulnerabilidad de aplicaciones web crónica, a la altura de cross-site scripting y otras que se mantienen en el camino del desarrollo seguro. CSRF funciona cuando un usuario autenticado para una aplicación web o dominio es forzado por un atacante a hacer peticiones de cambio de estado, en este caso incluyendo las peticiones administrativas. El atacante, sin embargo, tendría que combinar esto con algún tipo de ingeniería social para engañar a la víctima y llevarla al sitio que hospeda el ataque.

"No sería difícil de explotarlo en absoluto", dijo Saccomanni. "El atacante tendría que hacer que su víctima llene un formulario de aspecto muy profesional (tal vez ni siquiera relacionado con GoDaddy en absoluto), y tiene que encontrar la manera de que  GoDaddy realice una configuración de dominio cambiando las peticiones mientras están conectados. Podría hacer esto a escala, atrayendo a los usuarios de GoDaddy a su sitio, apostando a que van a registrarse".

Saccomanni dijo que descubrió la vulnerabilidad el sábado cuando encontró un viejo dominio en GoDaddy, notando la falta de protección por falsificación de petición de cross-site en las acciones de admministración del DNS de GoDaddy. Saccomanni dijo que no había token de CSRF presentes en el cuerpo de la solicitud o las cabeceras y no forzaba a tener referencias. Esta falta de protección daría a un atacante la posibilidad de editar los servidores de nombres, cambiar la autorenovación de configuración y editar el archivo de zona.