eBayの販売プラットフォームの深刻な脆弱性が、CheckPointのセキュリティ調査によって明らかになりました。. この脆弱性により、攻撃者はeBayのコード検証をバイパスできます. 結果として, 攻撃者はコードをリモートで制御し、eBayユーザーに悪意のあるJavaScriptコードを実行する可能性があります. 脆弱性がパッチされないままになっている時間が長いほど, eBayユーザーがフィッシング攻撃やデータ盗難の被害者になる可能性が高くなります.
続きを読む: PayPalがリモートコード実行のバグを修正しました
不運にも, eBayはこの深刻なセキュリティ上の欠陥を修正するために何もしていません. チェックポイント 12月にeBayに連絡した 15, 2015. 数週間後, eBayは彼らに欠陥を修正するつもりはないと答えた. なぜだろうと思うのは当然です.
eBayの脆弱性の詳細
欠陥を発見した研究者はローマン・ザイキンです. 彼は、この欠陥により、攻撃者が「JSF**」と呼ばれるあまり一般的ではない手法を介してさまざまなデバイスで悪意のあるコードを実行できることを明らかにしました。. この手法により、悪意のある攻撃者はeBayをフィッシングサイトおよびマルウェア配布プラットフォームとして使用する機会が得られます。.
JSF**スクリプトは次のようになります. ソース: チェックポイント
攻撃を開始するには, 攻撃者はオンラインeBayストアを作成するだけで済みます. そこには, 彼は単にアイテムの悪意のある説明を投稿することができます. eBayは、ユーザーがスクリプトやiFrameを使用できないように設計されていますが, JSF**kテクニックを使用して, 攻撃者は、サーバーから追加のJSコードをロードするコードを記述できるようになります. 結果として, 攻撃者はJavaScriptを挿入してリモートで制御できます. また、JSコードを変更して、さまざまなペイロードを作成することもできます。.
これがOdedVanunuです, チェック・ポイントのセキュリティ研究グループマネージャー, 言った:
eBayの攻撃フローは、サイバー犯罪者にユーザーを標的とする非常に簡単な方法を提供します: 攻撃を実行するために非常に魅力的な製品へのリンクを送信する. 主な脅威はマルウェアの拡散と個人情報の盗用です. もう1つの脅威は、攻撃者がGmailまたはFacebookを介して別のログインオプションをポップアップし、ユーザーのアカウントを乗っ取る可能性があることです。.
脆弱性の開示に対応して, eBayは、欠陥に基づく不正行為は発見されていないと述べています。. 加えて, eBayのスポークスマンはまた、さまざまなセキュリティフィルターが実装されていると述べています. eBayの修正に関する詳細は提供されていません.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: