Open Redirect på Politiken

Rapporteret: 23. Januar 2017

Løsning bekræftet: 2. Februar 2017

Medier ramt af problem: Alle der bruger medielogin (Politiken.dk, Jyllandsposten.dk, Finans.dk, Ekstrabladet.dk, Riidr.dk)

For nylig ville jeg logge ind på Politiken. Da jeg klikkede på login blev jeg selvfølgelig sendt til login-siden:

https://medielogin.dk/politiken/login

Det interessante ved linket var, at det ikke bare så ud som ovenstående, men at der var et query parameter med. Linket så altså således ud:

https://medielogin.dk/politiken/login?redirect=%2Fopenid%2Fendpoint%3Fopenid.ns%3Dhttp%3A%252F%252Fspecs.openid.net%252Fauth%252F2.0%26openid.claimed_id%3Dhttp%3A%252F%252Fspecs.openid.net%252Fauth%252F2.0%252Fidentifier_select%26openid.identity%3Dhttp%3A%252F%252Fspecs.openid.net%252Fauth%252F2.0%252Fidentifier_select%26openid.return_to%3Dhttps%3A%252F%252Fpolitiken.dk%252F%253Fpolid_return%253D1517832822%26openid.realm%3Dhttps%3A%252F%252Fpolitiken.dk%26openid.assoc_handle%3D8wGl!IAAAALTBa3vxUMbOGF9xM7qLp9V9KlX74ClNWa1gdUwTkJJ4QQAAAAFxRwxSj11u28HmQ163ogoVAaT1fQuITVBrfzOfgvw71odorA4ZStVbalWBKloGn5LdABTNxJVx8CcmGVl82ONH%26openid.mode%3Dcheckid_setup%26openid.ns.ext1%3Dhttp%3A%252F%252Fopenid.net%252Fsrv%252Fax%252F1.0%26openid.ext1.brand%3Dpolitiken

Det spændende her er /login?redirect=. At have et redirect-parameter på login er ret almindeligt og brugbart. Hvis nu en bruger er på en artikelside og skal logge ind, er det virkelig rart at blive sendt tilbage til den rigtige artikel efter at have logget ind.

Desværre implementerer forbavsende mange sådan et redirect forkert, hvilket kan udnyttes til onde ting. Denne type svaghed kaldes også open redirect. Det betyder, at linket kan ændres, så brugeren sendes til hvilken som helst anden side i stedet for artiklen på Politiken. Forestil dig følgende scenarie:

A sender B et link: “Hey, tjek den her artikel — kræver login: https://medielogin.dk/politiken/login?redirect=https://politikn.dk/artikel/du-tror-det-aldrig”

B klikker på linket og lander på Politikens medielogin. Alt er godt og trygt, så B logger ind. Herefter bliver B nu sendt til https://politikn.dk/artikel/du-tror-det-aldrig i stedet for til Politiken.

Den side har A lavet, og den ligner Politiken, men bruges i stedet til at høste private information og betalingsoplysninger fra B.

Politiken har meldt tilbage, at problemet nu er løst, så medielogin kun redirecter til egne domæner.

Vil du klage eller sende mig en frugtkurv? Så fang mig på Twitter.