بواسطة
أحمد علاء
11/25/2012 11:13:00 PM
وجدت ثغرة Zero-day في موقع Yahoo الشهير والتي تسمح للمهاجمين بالوصول إلى حسابات المستخدمين وتحويلهم لموقع آخر.
وقد عرضت الثغرة للبيع بواسطة مخترق مصري بـ 700 دولار بشكل حصري في احد المنتديات ، والثغرة هي نقطة ضعف في الموقع عبر XSS –Cross-Site Scripting- والتي تسمح للمخترق بسرقة الـ Cookies من خدمة البريد الالكتروني في Yahoo!.
وقد ارسل المخترق رسالة تحوي رابط لموقع ، واذا ضغطها المستخدم فإن العملية ستنفذ ويأخذ المعلومات من الـ Cookies و الـ Sessions وكل المعلومات الهامة التي تحفظ بيانات المستخدم وتكون بين الموقع والمتصفح ، بإمكان هذه الثغرة ايضا ان تعيد كتابة المحتوى في صفحة الـ HTML.
وقال المخترق في رسالة له :
"انا ابيع ثغرة في موقع Yahoo تمكنك من الحصول على الـ Cookies الخاصة بالبريد الالكتروني وتعمل في جميع المتصفحات ، ايضا لا تحتاج ان تجتاز فلتر XSS في متصفحات IE او كروم لأن الثغرة تقوم بذلك بنفسها ، والمتوقع ان يكون سعرها بين 1,100دولار و 1,500 دولار ولكنني اعرضها بـ 700 دولار فقط وسأبيعها فقط إلى الاشخاص الموثوقين لأني لا اريد ان اراها منشرة في وقت قريب".
وهذا الفيديو للتوضيح :
وقد انبهت بعض الشركات شركة Yahoo! إلى وجود الثغرة وردت انهم يعملون على اصلاحها في اقرب فرصة واضاف مسؤول الحماية في Yahoo! ان التحدي الاكبر هو ان العمل الآن يتم على الرابط الرئيسي للموقع لاكتشاف الثغرة والتي لايمكن ان تكتشف من رسائل المخترق ، واضاف "ان اصلاحها سهل حيث ان اغلب ثغرات XSS يتم تصليحها عبر تغيير بسيط في برمجة الموقع ، حالما نجدها سيتم اصلاحها فورا"
