Αιγύπτιος hacker ανακάλυψε ένα κενό στην ασφάλεια του Yahoo Mail και δημιούργησε ένα νέο exploit το οποίο διαθέτει προς πώληση έναντι 700 δολαρίων. Σε περίπτωση που κάποιος ανυποψίαστος χρήστης πατήσει ένα συγκεκριμένο κακόβουλο link στο email του, το exploit επιτρέπει στον επιτιθέμενο να πάρει στον έλεγχο του τον browser του πρώτου και να τον κατευθύνει όπου θέλει αυτός.
Το νέο αυτό exploit αποτελεί μεγάλη απειλή για τους δεκάδες εκατομμύρια χρήστες του Yahoo όμως όπως δήλωσε ο διευθυντής ασφαλείας της εταιρίας, Ramses Martinez στον αρθρογράφο για θέματα ασφαλείας υπολογιστικών συστημάτων Brian Krebs, «το να διορθωθεί το πρόβλημα είναι μια εύκολη διαδικασία, μόλις αναγνωρίσουμε το κακόβουλο URL μπορούμε σε διάστημα λίγων ωρών να αναπτύξουμε τον κώδικα που χρειάζεται για την αντιμετώπισή του».
Σύμφωνα με την Yahoo και τον Martinez, η δυσκολία που αντιμετωπίζουν είναι στον εντοπισμό του exploit και αυτό επειδή πρόκειται για ένα ελάττωμα τύπου XSS που το εκμεταλλεύεται ένα εξωτερικό URL, χαρακτηριστικά αναφέρεται σαν «μια τρύπα που εύκολα μπορεί να κλείσει αλλά δύσκολα να εντοπιστεί».
Ο Αιγύπτιος hacker γνωστός με το ψευδώνυμο «TheHell» δήλωσε πως πήρε μέτρα με σκοπό την καθυστέρηση στην αναγνώριση του προβλήματος από τους τεχνικούς του Yahoo τονίζοντας πως «αν και προσφέρω το συγκεκριμένο exploit για 700 δολάρια θα το πουλήσω μόνο σε έμπιστους ανθρώπους καθώς δεν θέλω να διορθωθεί σύντομα» και πρόσθεσε εξηγώντας ότι «δεν υπάρχει καμία ανάγκη να προσπεράσετε το XSS filter του Internet Explorer ή του Chrome».
Ο Brian Krebs, επισήμανε πως αν η Yahoo πλήρωνε τους hackers για να τις αναφέρουν τα διάφορα κενά ασφαλείας, όπως κάνουν άλλες εταιρίες, το πρόβλημα ίσως να είχε λυθεί ήδη. Αν κάτι τέτοιο είχε αναφερθεί στην Google για παράδειγμα, η εταιρία θα αγόραζε το αντίστοιχο exploit έναντι 1.337 δολαρίων.
Για την προστασία τους οι χρήστες θα πρέπει να είναι ιδιαίτερα επιφυλακτικοί στο άνοιγμα links που τους έρχονται σε e-mail, ιδιαίτερα όταν αυτά προέρχονται από άγνωστες πηγές.
