| |
VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004
Correo Web de Yahoo! vulnerable a ataques XSS
http://www.vsantivirus.com/vul-yahoo-xss.htm
Por Marcelo A. Rodriguez
marcelo-ar@videosoft.net.uy
Rafel Ivgi (The-Insider) ha reportado una vulnerabilidad del tipo "validación de entrada" en "Yahoo! Correo" (Webmail), que puede ser potencialmente explotada para realizar ataques Cross-Site Scripting (XSS) por un usuario malicioso.
Un ataque XSS consiste en introducir en el campo de un formulario o código embebido en una página, un script (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado.
Según el reporte, el servicio "Yahoo! Correo" no valida las entradas provistas por el usuario en los campos "order" y "sort". Un usuario remoto puede crear una URL maliciosa que, al ser abierta por un usuario atacado conectado al servicio de Yahoo! Correo, ocasionará la ejecución de código script arbitrario en su navegador. Dicho código se originará desde el sitio de Yahoo! y se ejecutará en el contexto de seguridad de dicho sitio.
Como resultado de esto, el código podrá acceder a las cookies del usuario (incluidas las de autenticación), si las hay, asociadas con el sitio, acceder a datos recientemente remitidos al sitio por el usuario mediante un formulario, o tomar acciones en el sitio actuando como el usuario atacado.
Detalles
Luego de ingresar a "Yahoo! Correo" con el "Nombre de usuario" y la "Contraseña" correspondiente, se podrán ver los nuevos mensajes. Al elegir un mensaje cualquiera y hacer clic en el para visualizar su contenido, se verá en la barra de direcciones del navegador algo similar a esto:
http://us.f200.mail.yahoo.com/ym/ShowLetter?MsgId=
3308_151647_1069_1720_553_0_917_-1_0&YY=96862&inc
=25&order=down&sort=date&pos=0&view=a&head=b&box=Inbox
En dicho enlace puede incluirse un script que permite robar la cuenta.
Según explica Rafel Ivgi, cualquier usuario que haya tildado la opción "Recordar mi identidad en esta computadora" es vulnerable a un ataque XSS de este tipo. También lo es un usuario que revise su correo y abra un enlace malicioso que se encuentre dentro de un mensaje que explote esta vulnerabilidad, por lo tanto, es posible crear un gusano que envíe mensajes a usuarios de Yahoo! utilizando este fallo para robar cuentas de correo.
Consejos
A diferencia de Hotmail, al Webmail de Yahoo es posible acceder sin Javascript habilitado, ya que cuenta con dos versiones disponibles de este servicio.
Sin embargo, al ingresar sin Javascript, sale el siguiente mensaje:
Correo Yahoo!
¡Hemos mejorado Correo Yahoo!, Contactos, Agenda y el Bloc de notas! Ahora con el nuevo diseño resulta mucho más fácil navegar.
Debes habilitar el JavaScript en tu navegador para poder utilizar el nuevo diseño.
* Seguí las instrucciones para habilitar JavaScript o
* Cambiá a la versión anterior
Al seleccionar el enlace "Cambiá a la versión anterior", se ingresa al webmail viejo de Yahoo, sin Javascript, lo que impediría la explotación de este fallo.
Descubierto por:
Rafel Ivgi, The-Insider
http://theinsider.deep-ice.com
Reporte original:
http://www.securitytracker.com/alerts/2004/Mar/1009352.html
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
