Kwaadaardige e-mail kon Yahoo Mail-accounts overnemen
Yahoo heeft begin deze maand een ernstige kwetsbaarheid in Yahoo-webmail gedicht waardoor een aanvaller accounts kon overnemen of e-mailinstellingen kon aanpassen door een kwaadaardige e-mail te versturen. Het ging om een cross-site scripting-probleem in het html-filter.
Yahoo Mail gebruikt een html-filter om e-mailberichten met html op mogelijke kwaadaardige code te filteren. Door een probleem in het filter was het toch mogelijk om kwaadaardige JavaScriptcode in een e-mail te verbergen, die automatisch werd uitgevoerd zodra de gebruiker het bericht opende. Via de JavaScriptcode kon het account worden overgenomen, instellingen worden veranderd en e-mails zonder kennis van de gebruiker worden doorgestuurd.
Yahoo werd op 26 december vorig jaar over het probleem ingelicht en rolde op 6 januari van dit jaar een oplossing uit. De Finse onderzoeker Jouko Pynnönen die het probleem meldde kreeg voor zijn melding 10.000 dollar. Het probleem speelde alleen in de webmailclient van Yahoo, de mobiele app was niet kwetsbaar. Yahoo Mail heeft zo'n 300 miljoen e-mailaccounts en is daarmee één van de grootste e-mailaanbieders ter wereld.
Plaats de HTML van een e-mail niet in een webpagina, toon hem in een lokaal venster waarin voor de opmaak wel HTML ondersteund wordt maar waarin een JavaScript-engine domweg niet aanwezig is. Dan hoef je XSS niet te blokkeren, het is om te beginnen al niet van toepassing. Ook allerlei andere ellende kan je op die manier buitensluiten.
Het lijkt soms wel alsof men in de softwareindustrie met een onstuitbare gretigheid alles wat men maar door elkaar kan laten lopen ook echt door elkaar laat lopen. Men noemt het integratie maar het is verwevenheid, verwevenheid die maakt dat iets dat mis kan gaan problemen geeft in een onnodig groot domein. En zoals zo vaak worden de ontwikkelingen eenzijdig aangedreven door voordelen die men ziet en niet door nadelen, daar wordt een pleistertje opgeplakt dat niet altijd goed blijft zitten. Men gedraagt zich alsof genezen beter is dan voorkomen.
Het lijkt soms wel alsof men in de softwareindustrie met een onstuitbare gretigheid alles wat men maar door elkaar kan laten lopen ook echt door elkaar laat lopen. Men noemt het integratie maar het is verwevenheid, verwevenheid die maakt dat iets dat mis kan gaan problemen geeft in een onnodig groot domein.
"Jij kan toch programmeren? Maak dan even X of Y." Logisch, dat zo iemand aansluit bij wat hij/zij al kent.
Ik heb er geen ervaring mee, maar is dit nu een gevolg van Agile Development: zo snel mogelijk leveren wat de klant vraagt, niet denken, maar doen (als ik het goed begrijp).
Ik heb er geen ervaring mee, maar is dit nu een gevolg van Agile Development: zo snel mogelijk leveren wat de klant vraagt, niet denken, maar doen (als ik het goed begrijp).
Daar begrijp je inderdaad niet veel van. Het heeft ook geen barst met het onderwerp te maken, maar bij een obsessie wordt nu eenmaal elke kapstok gebruikt die je tegenkomt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
