Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
14/06/2012
Google tanca Cross-Site Scripting persistents en Gmail
Google ha solucionat diversos problemes de cross-site scripting en el seu servici de correu electrònic Gmail, que té més de 350 milions d’usuaris actius.
Els problemes que ha solucionat Google en el seu servici de correu podrien haver permés a un atacant injectar codi maliciós en el sistema de la víctima. L’investigador Nils Juenemann va descobrir tres vulnerabilitats diferents de tipus cross site scripting (XSS) en Gmail, i en va informar l’equip de seguretat de Google, com a part del Programa de recompensa de vulnerabilitats, pel qual investigadors en seguretat són recompensats amb fins a 20,000 dòlars per informar de fallades de seguretat en els seus servicis web.
La més greu d’estes fallades era un cross site scripting persistent explotable a través d’una URL especialment modificada. Les fallades XSS persistents es consideren més perilloses que les normals (reflectides) ja que, en este cas, la petició maliciosa que fa l’atacant es guarda en el servidor, i pot produir l’execució de codi arbitrari. Perquè l’atac tinga èxit, l’atacant havia d’obtindre l’identificador estàtic de l’usuari i l’identificador del missatge. A pesar d’açò, Juenemann indica que estos camps són fàcils d’obtindre.
Les altres fallades estan basades en el DOM, una és persistent, i una altra reflectiad, basada en la vista mòbil de Gmail. Juenemann indica que l’Equip de seguretat de Google, després del seu informe, va resoldre els problemes de forma molt ràpida. Es poden trobar més detalls sobre estos problemes en el blog de Juenemann, en el qual a més recomana als usuaris habilitar la verificació en dos passos en els seus comptes.