Lỗ hổng stored XSS được tìm thấy trong Yahoo! Mail cho di động

[WhiteHat News #ID:2112]

Một chuyên gia nghiên cứu an ninh đã phát hiện ra một lỗ hổng dễ khai thác trong phiên bản di động của website Yahoo! Mail.

Ibrahim Raafat phát hiện lỗ hổng cross-site scripting (XSS) có thể bị khai thác cho nhiều mục đích khác nhau.

Một kẻ tấn công đơn giản chỉ cần soạn một email có chứa mã khai thác XSS và gửi nó cho mục tiêu. Mã khai thác này sẽ được thực thi ngay khi nạn nhân mở tài khoản Yahoo! Mail của họ từ website cho di động (mg.mail.yahoo.com) của Yahoo!. Raafat cho biết lỗ hổng này không ảnh hướng đến các ứng dụng di động Yahoo! Mail.

Chuyên gia người Ai Cập chỉ ra rằng mã độc sẽ vẫn được thực thi ngay cả khi nạn nhân không mở email – chỉ cần Inbox được mở từ phiên bản di động của website Yahoo! Mail là đủ. Video PoC mô phỏng cách thức tấn công cũng đã được Raafat công bố.

“Một kẻ tấn công có thể sử dụng lỗ hổng này để chạy mã JavaScript trên trình duyệt của nạn nhân. Sau đó, hacker có thể đánh cắp các cookie không được bảo vệ, chuyển hướng nạn nhân đến các tên miền độc hại, tải tập tin độc hại về máy hay thậm chí là truy cập một trang phishing và điền các thông tin đăng nhập Yahoo”, Raafat cho biết.

Lỗ hổng được thông báo tới Yahoo! thông qua HackerOne vào ngày 11/11 và đã được vá vào ngày 21/11. Chuyên gia cho biết ông nhận được 600 USD tiền thưởng từ Yahoo! cho việc phát hiện lỗ hổng này.

Theo Security Week​