Google funciona como reloj…

Hace un par de días (Septiembre 24) se encontró una vulnerabilidad XSS en google.com que puede ser usada para robar (o ver…no me gusta la palabra robar) información desde las cuentas de gmail. Esta vulnerabilidad utiliza una técnica llamada CSRF (Cross-site request forgery), que, sorprendentemente, no es nueva para google

La cosa funciona así: la victima (ojalá no yo) visita un sitio que contenga un código “malicioso” mientras está logueado en gmail. Este sitio ejecutará un multipart/form-data POST en una de las interfaces de gmail e inyectará un filtro en la lista de filtros de la victima. Entonces el atacante escribe un filtro que simplemente buscará correos con archivos adjuntos y los forwardeará a un correo X (posiblemente el de él). Además de eso, los correos que sigan llegando, y que hagan match con el filtro también serán reenviados. Hay que tener claro que este ataque se mantendrá hasta que la victima elimine el filtro desde su lista de filtros…Ahora yo me pregunto: ¿como lo hace un usuario non-geek que no revisa sus filtros? La respuesta: el papi google ya solucionó el problema, lo que demuestra que esa gente sí trabaja🙂

 Por si a alguien le interesa, aca dejo unos links relacionados.

http://blog.beford.org/?p=3
http://blogs.zdnet.com/security/?p=539

~ by Boris on September 26, 2007.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

 
%d bloggers like this: