Kwaadaardige e-mail kon Yahoo Mail-accounts overnemen
Yahoo heeft begin deze maand een ernstige kwetsbaarheid in Yahoo-webmail gedicht waardoor een aanvaller accounts kon overnemen of e-mailinstellingen kon aanpassen door een kwaadaardige e-mail te versturen. Het ging om een cross-site scripting-probleem in het html-filter.
Yahoo Mail gebruikt een html-filter om e-mailberichten met html op mogelijke kwaadaardige code te filteren. Door een probleem in het filter was het toch mogelijk om kwaadaardige JavaScriptcode in een e-mail te verbergen, die automatisch werd uitgevoerd zodra de gebruiker het bericht opende. Via de JavaScriptcode kon het account worden overgenomen, instellingen worden veranderd en e-mails zonder kennis van de gebruiker worden doorgestuurd.
Yahoo werd op 26 december vorig jaar over het probleem ingelicht en rolde op 6 januari van dit jaar een oplossing uit. De Finse onderzoeker Jouko Pynnönen die het probleem meldde kreeg voor zijn melding 10.000 dollar. Het probleem speelde alleen in de webmailclient van Yahoo, de mobiele app was niet kwetsbaar. Yahoo Mail heeft zo'n 300 miljoen e-mailaccounts en is daarmee één van de grootste e-mailaanbieders ter wereld.
Plaats de HTML van een e-mail niet in een webpagina, toon hem in een lokaal venster waarin voor de opmaak wel HTML ondersteund wordt maar waarin een JavaScript-engine domweg niet aanwezig is. Dan hoef je XSS niet te blokkeren, het is om te beginnen al niet van toepassing. Ook allerlei andere ellende kan je op die manier buitensluiten.
Het lijkt soms wel alsof men in de softwareindustrie met een onstuitbare gretigheid alles wat men maar door elkaar kan laten lopen ook echt door elkaar laat lopen. Men noemt het integratie maar het is verwevenheid, verwevenheid die maakt dat iets dat mis kan gaan problemen geeft in een onnodig groot domein. En zoals zo vaak worden de ontwikkelingen eenzijdig aangedreven door voordelen die men ziet en niet door nadelen, daar wordt een pleistertje opgeplakt dat niet altijd goed blijft zitten. Men gedraagt zich alsof genezen beter is dan voorkomen.
Het lijkt soms wel alsof men in de softwareindustrie met een onstuitbare gretigheid alles wat men maar door elkaar kan laten lopen ook echt door elkaar laat lopen. Men noemt het integratie maar het is verwevenheid, verwevenheid die maakt dat iets dat mis kan gaan problemen geeft in een onnodig groot domein.
"Jij kan toch programmeren? Maak dan even X of Y." Logisch, dat zo iemand aansluit bij wat hij/zij al kent.
Ik heb er geen ervaring mee, maar is dit nu een gevolg van Agile Development: zo snel mogelijk leveren wat de klant vraagt, niet denken, maar doen (als ik het goed begrijp).
Ik heb er geen ervaring mee, maar is dit nu een gevolg van Agile Development: zo snel mogelijk leveren wat de klant vraagt, niet denken, maar doen (als ik het goed begrijp).
Daar begrijp je inderdaad niet veel van. Het heeft ook geen barst met het onderwerp te maken, maar bij een obsessie wordt nu eenmaal elke kapstok gebruikt die je tegenkomt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.