פירצה בדואר האלקטרוני של יאהו

כשל אבטחה בשירות הדואר האלקטרוני של יאהו Yahoo Mail חושפת את תיבות הדואר האלקטרוני של המשתמשים לסכנה של פריצה, כך נודע ל-ynet. בעקבות פניית ynet הפירצה תתוקן.

על פי בדיקה שערכו ניר גולדשלגר ורוני בכר מצוות חדירה בחברת האבטחה Avnet, משתמשים זדוניים עלולים לפרוץ לתיבות הדואר של יאהו! באמצעות משלוח הודעה עם קוד זדוני.

בבדיקה של ynet, התברר כי מדובר בסכנה לחלוטין לא תיאורטית. מבלי לפרט את התהליך, נציין כי במהלך הבדיקה החוקרים פתחו תיבת דואר אלקטרוני חדשה, ושלחו אליה הודעה מכתובת אחרת, בה צורף קובץ html המכיל קוד זדוני. פתיחה של הדוא"ל בדפדפן אינטרנט אקספלורר חושפת מכתב רגיל ובמקביל, ללא ידיעתו של המשתמש, שולחת את ה-Cookie שלו לשרת שקבע התוקף. חשוב לציין כי אין צורך לפתוח את הקובץ הזדוני או להורידו כדי להיפגע מהפירצה.

גישה מלאה לתיבת המייל

בשלב זה התוקף יכול להעביר את ה-Cookie מהשרת המרוחק למחשב שלו ולקבל גישה מלאה לתיבת הדואר האלקטרוני של יאהו, ללא הגבלת זמן. הוא יכול לקרוא את המכתבים הנוספים בתיבה ולשלוח ממנה הודעות.

אין באפשרות התוקף לשנות את הסיסמה מתוך התיבה, מכיוון שעל מנת להגיע לאפשרות זו יש להקליד את הסיסמה שוב. עם זאת, על פי גולדשלגר ובכר, כלים המצויים ברשת יכולים לעזור לו לשלוף מה-Cookie פרטים אישיים שעשויים לסייע לו לקבל את הסיסמה ממנגנון שחזור הסיסמה למשתמשים ששכחו אותה. לחלופין, הפירצה יכולה להיות מנוצלת למטרות פישינג, ובאמצעות קוד זדוני אחר, יכול הפורץ להפנות את הגולש לעמוד בו הוא יתבקש להכניס את שמו ואת סיסמתו, שישלחו כשהוא חושב שהוא עדיין בתוך התיבה שלו.

שינוי הסיסמה על ידי בעל התיבה יחסום רק באופן חלקי את הגישה של הפורץ, ויאפשר לו לגשת לחלקים שונים בתיבה כמו יומן הפגישות.

תגובת יאהו

דוברת יאהו, קלי פודבוי מסרה: "ענייני אבטחה, כמו הבאג הזה, נלקחים ברצינות רבה ביאהו! פיתחנו תיקון לבעיה, ואנחנו בתהליך הפצתו בעולם. משתמשי הדואר של יאהו לא צריכים לנקוט בעצמם באף צעד בשביל להיות מוגנים מהפירצה".