Le site The Daily WTF a publié un récit d'Ellis Morning, fondé sur le témoignage du lecteur Jared B. Jared a passé un an comme rédacteur de programmes pédagogiques dans une entreprise d'edtech fondée par un professeur de génie mécanique surnommé Harry. Dans les années 1990, Harry avait développé un interpréteur C et, des décennies plus tard, le considérait toujours comme une technologie d'avenir; il a bâti sur cette base un programme de mathématiques et d'informatique pour les élèves du primaire au lycée.

Quand les Chromebooks ont remplacé les postes Windows dans les salles de classe, Harry a ajouté un IDE web tout en conservant, pour les écoles encore équipées de Windows, un bouton "Exécuter en local". En cliquant dessus, l'utilisateur installait un service en arrière-plan qui lançait au démarrage un serveur websocket sur le port 12345, avec un point d'accès nommé execute_c_program. Celui-ci recevait une chaîne de code C et la transmettait directement à l'interpréteur, y compris des fonctions comme execv().

Ce point d'accès n'était protégé par aucune authentification : n'importe quel site web pouvait envoyer discrètement du code vers localhost:12345 et obtenir une exécution de code à distance dès qu'une victime chargeait une page piégée. Pire encore, le serveur écoutait sur 0.0.0.0, ce qui permettait à n'importe quel appareil du même réseau d'y accéder directement, sans même passer par un piège de type hameçonnage. La faille est restée ignorée pendant des années alors que le logiciel équipait des milliers d'ordinateurs scolaires dans tout l'État; Harry n'avait jamais employé que ses propres doctorants comme développeurs.

Jared a documenté et démontré la faille à Harry, qui a publié une nouvelle version mentionnant seulement des "améliorations de sécurité" dans les notes de version, sans jamais alerter les responsables informatiques des écoles ou des districts sur l'urgence de la mise à jour. Jared a aussi signalé une faille distincte de vol de cookies menaçant les données d'élèves et d'enseignants, ainsi qu'une injection de code sur un autre site de l'entreprise où une page évaluait côté serveur, via eval() sans aucune validation, des expressions mathématiques saisies par les utilisateurs; son exploitation a révélé des milliers d'enregistrements de transactions avec des numéros de carte bancaire stockés en clair.

L'entreprise est toujours en activité et a récemment été classée parmi les meilleures entreprises edtech américaines par TIME. Selon Jared, l'accès administrateur du routeur du bureau fonctionne encore aujourd'hui avec les identifiants par défaut, faciles à trouver sur Google.