Иахоо закрпа рањивост омогућавајући хакерима да прислушкују е-пошту

Иахоо је отклонио недостатак Поштанска услуга то је могло дозволити хакерима да прислушкују корисничке имејлове скоро годину дана након што је иста грешка откривена и закрпана. Јоуко Пиннонен из Финске добио је 10.000 долара од Иахоо-а за откривање нове рањивости, коју је Иахоо отклонио прошлог месеца.

Недостатак се односио на напад на скрипте на више локација који је нападачу дао дозволу да прочита корисникову е-пошту или створи вирус да зарази Иахоо Маил рачуне. Пиннонен је објаснио да корисник мора прегледати е-пошту нападача да би грешка радила.

Грешка је била слична старој погрешци Иахоо Маила коју је Пиннонен открио прошле године и која би хакерима могла дати потпуну контролу над Иахоо Маил налогом.

Недостатак Иахоо филтера

Пиннонен је навео кривицу за најновију рањивост у Иахоо-овом филтру за ХТМЛ поруке. Филтер функционише тако да блокира злонамерни код из корисничког прегледача. Према истраживачу, филтер није успео да обухвати све атрибуте злонамерних података. Хакер би тада могао извршити злонамерни ЈаваСцрипт само слањем прилагођеног е-маила жртви.

Истраживач је открио ману у погледу састављања е-поште, где су му различите опције прилога скренуле пажњу на потенцијалну грешку у основном ХТМЛ филтрирању. Пиннонен је затим креирао е-пошту са разним прилозима и послао је поруку у спољно поштанско сандуче. Након увида у сиров ХТМЛ који садржи е-пошта, неки злонамерни атрибути привукли су му пажњу.

„Оно што ми је запало за око су атрибути дата- * ХТМЛ. Прво, схватио сам да мој прошлогодишњи напор да набројим ХТМЛ атрибуте дозвољене Иахоо-овим филтером није ухватио све. “

Пиннонен је сматрао да је могуће уградити неколико ХТМЛ атрибута који ће проћи кроз Иахоо-ов ХТМЛ филтер. На крају је пронашао патолошки случај након што је саставио е-пошту са злоупотребним атрибутима дата- *.

Иахоо је под ватром почетком ове године након извештаја који показују да је најмање 200 милиона поштанских рачуна продато на тамној мрежи.

Прочитајте такође:

• Како се пријавити на Виндовс 10 Маил помоћу Иахоо налога
• Апликација Иахоо Маил за Виндовс 10 сада синхронизује контакте са Мицрософт Пеопле