重要なYahooの電子メールの脆弱性は、バグバウンティプログラムを通じてパッチを当てた

攻撃者がアカウントをハイジャックするのを許したYahoo Mailの重大な欠陥が修正されました。

セキュリティ研究者Jouko Pynnonen氏に個人的に開示されたYahooは、2015年12月26日にHackerOneバグバウンティプログラムを通じてこの脆弱性を知らされました。

格納されたXSSの脆弱性により、攻撃者はカスタマイズされた電子メールメッセージに悪質なJavaScriptコードを埋め込むことができました。被害者は何もする必要はありませんでしたが、メッセージを読んでコードを実行し、サイバー攻撃者にアカウントを完全に侵害し、設定を乗っ取って、犠牲者の知らないうちに同意なしに電子メールを攻撃者のサーバーに送ります。

研究者によると、この問題はYahooがHTML形式の電子メールメッセージをフィルタリングする方法にある。 Pynnonen氏は、不正なコードがユーザーの受信ボックスに入らないようにするため、この作業を行っているが、「不正なHTMLコードがフィルタを通過する可能性がある」と述べている。

ransomware攻撃のコスト:今年は10億ドル、ChromeはHTTP接続を安全ではないとラベル付け開始、Hyperledgerプロジェクトはギャングバスターのように成長している;今、あなたはその道で何かを破壊するUSB​​スティックを買うことができる

特に、いくつかのブール値のHTML属性は、フィルタを迂回してJavaScriptコードの実行を許可する可能性があります。

以下のコンセプトビデオは、感染した受信ボックスを外部サーバーに転送するために脆弱性が悪用される可能性があることと、犠牲者が送信したすべての送信電子メールにウイルスを添付する方法を示しています。

XSSの脆弱性は、Yahoo Mailのすべてのバージョンに影響を及ぼしましたが、ハイテクジャパンのモバイルアプリケーションには影響しませんでした。

バグは2016年1月6日に修正されました。Pynnonenによると、セキュリティ問題が野生で悪用される前に、この脆弱性が修正されました。

PynnonenはHackerOneを通して彼の努力のために$ 10,000を授与されました。 Yahooはcrowdsourced bug bountyプラットフォームを使用して、提出された欠陥ごとに最大15,000ドルの研究者と寄稿者を賞賛しています。

読んでください:トップピック

ポート・フェイルVPNセキュリティの欠陥により、あなたの実際のIPアドレスが明らかになり、ディーラーは、フォルクスワーゲンに、排出スキャンダルに対する集団訴訟を起こした;バグ賞金:研究者は現金を提供している企業ですか;あなたのビジネスはデータ侵害を受けています。今何が?あなたがダークウェブについて知らなかった10の事柄

米連邦捜査局(FBI)はCrackasのメンバーを逮捕し、米国政府の役人をハッキングした姿勢を示している;セキュリティ、Wordpressはユーザーに重大なセキュリティホールを修正するように今更新するよう強く促す;セキュリティ、ホワイトハウスは連邦最高情報セキュリティ責任者政府の監視による緊急対応

FBIは、米国の政府関係者をハッキングしたとの態度で、Crackasのメンバーを逮捕した

WordPressは、重要なセキュリティホールを修正するために今アップデートするようユーザに促す

ホワイトハウス、連邦最高情報セキュリティ責任者を任命

国防総省のサイバー緊急対応を批判したペンタゴン