Vulnerabilidad en el correo de Yahoo y Hotmail

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Vulnerabilidad en el correo de Yahoo y Hotmail
	VSantivirus No. 328 - Año 5 - Viernes 1o de junio de 2001 Vulnerabilidad en el correo de Yahoo y Hotmail El uso de scripts en sitios como Yahoo y Hotmail (aunque también podrían ser vulnerables otros servicios de correo basados en la Web), puede hacer posible que se propaguen gusanos del tipo del Melissa. La falla funciona así: 1. Un mensaje es enviado a la víctima, la cuál usa un correo de Yahoo o Hotmail. 2. Dentro del mensaje, existe un enlace a los propios servidores de Yahoo o Hotmail. 3. Este enlace contiene códigos en javascript que se ejecutan cuando la página del enlace es abierta. Este código abre una ventana que le permite navegar dentro de la bandeja de entrada de la víctima, enviando mensajes con el enlace malicioso, a cada dirección de correo encontrada en dicha bandeja de entrada. 4. Debido a que este código de javascript se ejecuta dentro de la página del propio servidor que da el servicio de correo, no se producen errores cuando este código realiza su acción. Son vulnerables los servicios de correo basados en la Web de Yahoo y Hotmail. Note que la explotación de esta vulnerabilidad requiere que el usuario pulse sobre un enlace en el mensaje. Sin embargo, dos cosas hacen que esto no sea una barrera infranqueable. 1. El mensaje viene de un usuario conocido (aunque está enviado por el propio gusano). 2. El enlace es al propio servidor, el cuál es considerado seguro. En teoría, otros servicios similares a los nombrados, podrían ser también vulnerables, aunque el gusano solo funciona en servicios de correo vía Web. Un ejemplo de este código ya está disponible en Internet. La solución por el momento, es evitar abrir enlaces en los mensajes leídos dentro del propio sitio, o de página o formularios cuya respuesta sea visualizada en la pantalla mientras estamos en esos sitios. Esto debe hacerse con cualquier página de algún servidor que ofrezca servicios de enviar o recibir correo. Según los descubridores de esta vulnerabilidad, Yahoo y Hotmail fueron avisados de la misma el 23 de mayo de 2001. Más información: http://www.sidesport.com/webworm/ (c) Video Soft - http://www.videosoft.net.uy