CVE-2016-7241 in script 'Cryptowat.ch' (o.a. Kraken) ??

[BStorm]

Kraken's vernieuwde Trade Engine >> [CVE-2016-7241-1] ???

ClamWin geeft steeds aan dat de cache van Firefox bevuilt raakt met [CVE-2016-7241-1] Remote Memory Corruption Threat. Beetje speurwerk blijkt dat dit uit de cache komt van Kraken's vernieuwde Trade Engine website - Trade.Kraken.Com

DETAILS: Win7: %AppData%\Local\Mozilla\Firefox\Profiles\'random'.default\cache2\bestandje -- Dan bestandje rauw openen in Notepad++ óf checken via MozFF CachViewer plugin levert dan referenties aan CryptoWat.ch - een stuk script dat geladen wordt op die site. Ik ben weinig thuis in script-shit maar krijg het idee dat die engine (het script) ook zelfs op andere sites/wisselkantoren is geïmplementeerd (als service/gemene deler); het doet expliciet pairs quoten als 'Kraken x/y en Kraken x/z etc...

Iemand enig idee hoe dit zit? Neem aan een false positive?? Heeft dus wel nogal implicaties denk ik; mocht die handels-engine werkelijk gecompromitteerd zijn en het dus wellicht gebruikers (fintech traders) én hun handel compromitteert.

Het gekke -vind ik- is dat het een CVE van 2016(!?) is en dat enkel ClamWin hem eruit vist (ik heb het gecheckt op Alphabet Holdings' VirusTotal (Is ooit ingelijfd onder de Google-vlag geloof ik.)).

[MAX3400]

En wat zeiden ze bij Kraken toen je dit meldde?

Voor zover ik kan zien; er zit een XSS vulnerability in en ik kan me voorstellen dat die nodig is (sic) om inderdaad tussen Kraken en Cryptowat.ch data uit te wisselen. Het verdient geen schoonheidsprijs en mogelijk zijn ze dat gewoon vergeten om te katten in de code de afgelopen tijd.

Wat ik me wel afvraag; zijn zowel ClamWin als Firefox up-to-date bij jou? Want ook browser-makers willen nog wel eens dit soort CVE's "omzeilen" door een stukje code in hun browser op te nemen waardoor het XSS-script niet meer mogelijk is.

[Rannasha]

Het heeft hoe dan ook niets te maken met de nieuwe trade engine van Kraken, want dat is backend software, dus daar ga je niets van terug zien in clientside scripts.

Cryptowat.ch is een cryptocurrency koersgrafiekjes website die ergens vorig jaar is overgenomen door Kraken. Kraken heeft daarna een handelsinterface gebouwd gebaseerd op de interface van Cryptowat.ch: trade.kraken.com. Het kan dus prima dat er wat uitwisseling van scripts is tussen cryptowat.ch en trade.kraken.com.

[BStorm]

MAX3400 schreef op woensdag 7 maart 2018 @ 07:57:
Wat ik me wel afvraag; zijn zowel ClamWin als Firefox up-to-date bij jou? Want ook browser-makers willen nog wel eens dit soort CVE's "omzeilen" door een stukje code in hun browser op te nemen waardoor het XSS-script niet meer mogelijk is.

Nee niet >> ik zit op pre-quantum of hoe dat heet. (Ik heb veel OSS plugins draaien en die wil ik nog niet kwijt.) Ik moet nog over naar ESB of hoe hun stabiele platform ook weer heet.

En.. Ook ClamWin is nog outdated bij mij, maar ik had de update klaarstaan en die zet ik er gelijk nu maar eens op. Thx voor de reminder

En voor je antwoord ook trouwens!

[BStorm]

Rannasha schreef op woensdag 7 maart 2018 @ 08:45:
..de nieuwe trade engine van Kraken, want dat is backend software, dus daar ga je niets van terug zien in clientside scripts.

Cryptowat.ch is een cryptocurrency koersgrafiekjes website die ergens vorig jaar is overgenomen door Kraken. Kraken heeft daarna een handelsinterface gebouwd gebaseerd op de interface van Cryptowat.ch: trade.kraken.com. Het kan dus prima dat er wat uitwisseling van scripts is tussen cryptowat.ch en trade.kraken.com.

En jij ook bedankt @Rannasha !

[BStorm]

Oh + @MAX3400 : BugBounty ben (was) ik al achteraan, maar nog geen respons terug van ze.

Anyway, meer voor de fun/leerfactor dan dat ik er wat voor terug verwacht, maar toch. We gaan het zien :-D