|
 Все новости от 27 сентября 2007 г.
Уязвимость Gmail позволяет красть сообщения
Учетные записи Google Gmail легко взломать с тем, чтобы переадресовывать любые старые – и новые – сообщения на собственный адрес злоумышленника, утверждает известный охотник за багами.
Уязвимость Gmail, относящаяся к категории «межсайтовой подмены запроса» (cross-site request forgery - CSRF), обнаружил британский охотник за багами Петко Петков (Petko Petkov), который уже прославился громкими находками. За последние две недели Петков обнародовал информацию о серьезных пробелах в защите Apple QuickTime, Microsoft Windows Media Player и Adobe Portable Document Format (PDF).
Не раскрывая деталей, Петков утверждает, что злоумышленники могут использовать в своих целях функцию фильтра Gmail. Жертва, зарегистрировавшись в Gmail, должна посетить вредоносный веб-сайт, который, применяет по отношению к одному из интерфейсов прикладных программ Gmail специальную HTML-команду (Петков называет ее multipart/form-date POST), после чего вводит в список фильтров пользователя вредоносный фильтр.
Петков поместил на сайт Gnucitizen.org серию скриншотов, иллюстрирующих одну возможную атаку. «В этом примере злоумышленник создает фильтр, который просто находит сообщения с вложениями и пересылает их по указанному им адресу, — поясняет Петков. — Имейте в виду, что даже если Google устранит первоначальную уязвимость, фильтр будет пересылать сообщения до тех пор, пока остается в списке».
В комментарии к постингу Петкова в качестве способа профилактики предлагается расширение для Firefox, способное заблокировать эксплойты бага Gmail. Джорджио Маоне, автор популярного расширения NoScript, утверждает, что оно блокирует атаки CSRF. (NoScript блокирует любые сценарии JavaScript, Java и другой исполняемый контент с тех сайтов, которым пользователь не доверяет.)
Как и в случае с багом в формате файлов Adobe PDF, который Петков обнародовал на прошлой неделе, он защищает свое решение опубликовать информацию об уязвимости Gmail без предварительного уведомления Google. Правда, его объяснение кажется несколько туманным: «Допустим, это один из моих социальных экспериментов», — пишет Петков.
Главный технолог WhiteHat Security Inc. Джереми Гроссман называет баг Gmail «особенно пугающим». В своем блоге он объясняет: «Учетные записи веб-почты гораздо ценнее банковских счетов, так как открывают доступ ко многим другим онлайновым учетным записям (блоги, банковские услуги, шопинг и т.п.). Эксплуатировать такие уязвимости легко, безопасно и очень мудро».
Петков добавляет к этому собственные два цента: «В век, когда все данные находятся в одном облаке, злоумышленникам нет смысла взламывать ваш компьютер. Гораздо проще установить один из таких шпионящих фильтров-лазеек. Game over! Они не контролируют вашу машину, зато они контролируют вас, а это гораздо выгоднее».
 Предыдущие публикации:
В продолжение темы:
|
