Casa > cibernético Notícias > Vulnerabilidades reveladas no Yahoo, PayPal, Aplicativos Shopify e Magento
CYBER NEWS

Vulnerabilidades reveladas no Yahoo, PayPal, Aplicativos Shopify e Magento

Pesquisadores divulgaram informações sobre certas vulnerabilidades em aplicativos móveis e da web dos sites populares Yahoo, PayPal, Shopify e Magento. Isso poderia ter levado a ataques de phishing, seqüestro de sessões e até, roubo de contas.

p15_0000

Pesquisadores do laboratório de vulnerabilidades Ayoub Ait Elmokhtar, Benjamin Kunz Mejri, Ebrahim Hegazy e Hadji Samir fizeram a descoberta dos bugs no início deste ano, mas só agora eles os revelaram publicamente.

As vulnerabilidades do PayPal

Três preocupações separadas foram encontradas na segurança do PayPal, especificamente em suas aplicações web. A mais séria dessas preocupações é uma vulnerabilidade encontrada em Verificação de autenticação do PayPal, cujo objetivo é aprovar o proprietário legítimo da conta. A vulnerabilidade pode ter levado a um desvio desse processo de verificação por um invasor.

Mesmo quando a verificação em duas etapas está habilitada no aplicativo, onde um usuário é bloqueado se digitar as credenciais erradas, a conta pode ser novamente penetrada. Duas semanas atrás, Benjamin Mejri afirmou sobre o tópico que um usuário pode entrar na conta de outro usuário através da Interface de Programação de Aplicativo móvel apenas substituindo o antigo, cookies expirados com mais recente, os que trabalham.

Entre os possíveis desvios de autenticação em 2 etapas, houve um patch recente do PayPal que afetaria uma vulnerabilidade web de redirecionamento aberto, encontrado por Ayoub Elmokhtar, que poderia ter sido explorado remotamente. Essa vulnerabilidade abordou outra que era um bug de script entre sites armazenado no aplicativo Web de serviço online, que poderiam ter sido explorados para a compra de diversos bens ou transferência de fundos. Esta descoberta em particular foi feita por Ayoub Elmokhtar.

A vulnerabilidade do Yahoo

Houve outro motivo de preocupação que os pesquisadores divulgaram em relação ao site do Yahoo para anunciantes – Gemini. Mais especificamente houve uma CSRF (Falsificação de solicitação entre sites) erro, que poderia ter permitido a um invasor inserir código malicioso para comprometer o aplicativo do lado do cliente para solicitações do navegador e os dados da sessão.

As vulnerabilidades Shopify e Magento

Último, mas não menos importante, os pesquisadores descobriram duas vulnerabilidades de nome de arquivo implacáveis diferentes em duas plataformas para comércio eletrônico – Shopify e Magento do eBay. Essas vulnerabilidades podem ter levado um invasor a inserir remotamente seu próprio código malicioso nos módulos de serviço dos aplicativos. Se isso tivesse acontecido – poderia ter levado a uma série de problemas para os dois aplicativos, como o sequestro de sessões, ataques de phishing implacáveis, redirecionamentos implacáveis para fontes externas com conteúdo malicioso, entre outras coisas.

A vulnerabilidade mais recente que o pesquisador Hadji Samir encontrou foi no módulo do site Magento para relatórios de bugs. Um invasor pode ter carregado um script de código de carga útil como um nome de arquivo por meio de um “post” e o script a ser executado, em vez de um relatório de bug ser postado.

O que você acha de tudo isso? Os pesquisadores deveriam ter exposto os bugs mais cedo ou mesmo, imediatamente após tê-los descoberto? Você ainda se sente seguro usando os sites mencionados acima, mesmo com essas vulnerabilidades sendo corrigidas?

Berta Bilbao

Berta é um pesquisador de malware dedicado, sonhando para um espaço cibernético mais seguro. Seu fascínio com a segurança de TI começou há alguns anos atrás, quando um malware bloqueado la fora de seu próprio computador.

mais Posts

Deixe um comentário

seu endereço de e-mail não será publicado. Campos obrigatórios são marcados *

Este site utiliza cookies para melhorar a experiência do usuário. Ao utilizar o nosso site você concorda com todos os cookies de acordo com o nosso Política de Privacidade.
Concordo