La tarea de abrir y leer un simple correo electrónico hubiera infectado a millones y millones de usuarios de Yahoo Mail en todo el mundo. Una reciente vulnerabilidad descubierta en el popular servicio de correo de Yahoo, y ya solventada,permitía la ejecución de código malicioso con el que se hubiera tomado control de la cuenta para usos indebidos.
El investigador Jouko Pynnönen, descubrió a finales de diciembre una vulnerabilidad en el gestor de correo de Yahoo, que permitía la inserción de código malicioso que hubiera infectado a otros usuarios con la simple tarea de abrir un correo electrónico. Se trata de un ataque por Cross Site Scripting (XSS) donde el atacante inserta código malicioso dentro de una web o aplicación, infectando al usuario nada más abrir el e-mail o app, e incluso pudiéndole tomar control de la cuenta asociada sin que se dé cuenta.
Lo malo de los ataques XSS es que se aprovechan de la confianza de los usuarios al entrar a una web que pensaban que era segura, por ser conocida, y son infectados nada más visitar la página o, en este caso, abrir el correo.
La vulnerabilidad estaba presente por la forma en que el gestor de correo de Yahoo se ocupa de las etiquetas HTML que están incrustadas en el cuerpo principal del correo electrónico. Estas etiquetas se usan para dar formato y texto al correo electrónico, lo que permite que los usuarios puedan añadir texto en negrita, insertar imágenes o webs, o crear listas.
Pynnönen quiso saber cómo Yahoo trataba todas estas etiquetas, así que se mandó un email a sí mismo con todas las etiquetas posibles en el cuerpo del mensaje. Con ello estuvo investigando cómo Yahoo filtraba o evaluaba ciertas etiquetas, descubriendo que las etiquetas HTML con una estructura determinada podrían reemplazarse por un código malicioso, visible o no.
Como el código malicioso está en el cuerpo del mensaje, se acabaría ejecutando cada vez que el usuario abra el correo electrónico. Esta vulnerabilidad solo estaba presente en la interfaz web y no en la app para móviles y tablets sin que, en principio, nunca se haya aprovechado la vulnerabilidad para infectar e-mails. Jouko Pynnönen ha sido galardonado con 10.000 dólares por Yahoo por descubrir dicha vulnerabilidad.
Fuente:https://computerhoy.com/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
