Usterka w serwisie transakcyjnym mBanku – zgłoszona i naprawiona

Tym razem historyjka krótka i z życia wzięta: znalazłem usterkę w serwisie transakcyjnym mBanku. Nie szukałem jej aktywnie, natrafiłem na nią podczas przeszukiwania historii operacji. Pamiętałem, że w przelewie, który chciałem powtórzyć, występował uśmieszek z dwukropka, minusa i nawiasu, więc taki ciąg znaków wpisałem w pole wyszukiwania operacji. Po sekundzie od wpisania ostatniego znaku startowało automatyczne podpowiadanie, z którego byłem natychmiast wyrzucany na następującą stronę:

Komunikat błędu sugeruje usterkę klasy input validation, najwyraźniej wpisywany przeze mnie tekst był interpretowany przez mechanizm wyszukiwania jako część wyrażenia regularnego, tymczasem powinien być traktowany literalnie jako tekst wzorcowy. Nie próbowałem eksplorować błędu, bo ewentualna blokada podstawowego konta bankowego byłaby dla mnie problematyczna. Zamiast tego napisałem do zespołu bezpieczeństwa instrukcję odtworzenia błędu:

1. Wykonać przelew, w treści którego będzie na końcu klasyczny smiley z dwukropka, minusa, nawiasu. np „cośtam :-)”

2. Odczekać aż przelew trafi do historii

3. Przejść do menu płatności → historia

4. W polu wyszukiwania wpisać „:-)”, bez cudzysłowów

5. Poczekać 2 sekundy na autouzupełnianie

6. Efekt jak na obrazku, przekierowanie do niekompletnej strony z komunikatem unmatched ) in regular expression

7. Wrócić do płatności → historia, zawartość filtra jest zachowana, tym razem filtrowanie działa, widać operację z uśmieszkiem w tytule

8. Dać focus na pole filtra, dodać spację

9. Efekt z pkt 6 zostaje ponowiony

Nie wiem, czy usterka da się jakoś wyexploitować, ale nie chcę grzebać. Coś się na pewno źle escapuje. Błąd nie występuje w wyszukiwarce w aplikacji Android.

Potwierdzenie przyjęcia zgłoszenia dostałem w ciągu dwóch godzin.

Niniejszą blogonotkę publikuję po potwierdzeniu, że problem został usunięty. Wdrożenie poprawki trwało około tygodnia od zgłoszenia, co jest wynikiem bardzo dobrym nie tylko w branży finansowej.

---

PS: z usług mBanku korzystam prawie 20 lat czyli od samego początku działalności. Jeśli akurat planujesz założenie tam konta, możesz rozważyć użycie kodu polecającego informatykzakladowy (albo kliknięcie tego linku). Wszystkie przychody z bloga będę publikował systematycznie na jego łamach, blogonotka z wynikiem finansowym i kompletem statystyk czeka w kolejce do publikacji.

PPS: subskrybenci newslettera poznali te statystyki oraz przychody i wydatki już w niedzielę, bo tego typu materiały dostają wcześniej. Do newslettera możesz zapisać się poniżej.

PPPS: the plural of regex is regrets 🙃