امروز: سه شنبه، 21 آذر 1396

» نقص امنیتی یاهو در برابر مهاجمان

 

نقص امنیتی مهم در سرویس ایمیل یاهو که به هکرها اجازه دسترسی به صندوق کاربران را می­داد، برطرف شد.

محقق امنیتی شرکت Klikki Oy به نام Jouko Pynnönen یک XSS مقاوم مبتنی بر DOM ( تزریق اسکریپت از طریق وبگاه) را در یاهو میل گزارش کرد که در صورت بهره وری، به هکر اجازه ارسال کد مخرب جاسازی شده در ایمیل ها را می داد. وی طی پست بلاگی به آدرس https://klikki.fi/adv/yahoo2.html نشان داده است که چگونه مهاجم می­تواند از طریق صندوق الکترونیکی کاربر ایمیلی به یک سایت خارجی بفرستد و از طریق افزودن مخفیانه یک اسکریپت مخرب به امضای پیام، ویروسی بسازد که خودش را به تمامی ایمیل های ارسالی شخص الحاق می­کند.

این مشکل بخاطر عدم فیلتر مناسب کدهای مخرب در ایمیل هایHTML بوجود آمده است.

Pynnönen گفته است که این مشکل را با واخوراندن (force-feeding) همه­ی تگ­ها و ویژگی­های HTML به فیلتری که یاهو برای حذف کدهای مخرب استفاده می­کند پیدا کرد و مشاهده نمود که برخی از کدهای HTML از آن عبور کردند. برای اثبات این قضیه، امنیت یاهو را با فرستادن ایمیلی که در زمان مشاهده برای خواندن محتوای صندوق کاربر از AJAX استفاده می­کرد و آن را برای سرویس دهنده مهاجم می­فرستاد، تضمین نمود. وی این رخنه امنیتی را از طریق برنامه کشف باگ HackerOne خودش (https://hackerone.com/yahoo#scrollable-activity-1348615) کشف کرد و پاداشی معادل 10000 دلار دریافت نمود. وی رخنه ای مشابه را در نسخه وب یاهو کشف کرد. همچنین در دسامبر 2015، آسیب XSS ذخیره شده برای Flickr را به یاهو گزارش کرد و برای آن 500 دلار پاداش دریافت نمود.