Connect with us

technokrata

Google: biztonsági hiba a website-on

Dotkom

Google: biztonsági hiba a website-on

Az USA-beli, online kereséssel foglalkozó vállalat bejelentette, hogy megszüntette azt a sebezhetőséget, ami miatt az oldal látogatóit hackerek eltéríthették vagy más internetes támadásoknak tehették ki.

Az angol terminológiában cross-site scriptingnek hívott sebezhetőségről a nyilvánosság csak pár napja szerezhetett információt: a Google ugyanis nemrég jelentette be, hogy mentesítette oldalát egy ilyen támadási felülettől. A hibát felfedező Finjan Software közlése szerint az Adwords hirdetési program résztvevői és egy ügyfélképző site látogatói voltak kitéve annak, hogy phishing támadás áldozatává válhatnak. Rossz esetben, azaz ha hamarabb fedezik fel ezt a lehetőséget a cyberbűnözők, akkor akár ártalmas kódot is letöltethettek volna a site-tal az oda látogatók számítógépére, amit aztán ott aktiválva máris újabb zombit szereztek volna egy botnethez. Emellett a felhasználói jelszavak, nevek, hitelkártya információk és társadalombiztosítási azonosítók is veszélyben voltak, közölte a Finjan. Szerencsére nem történt biztonsági esemény ezzel kapcsolatban, nyugtatta meg a Google az internetezőket.

Magára a problémára még a múlt hónapban bukkantak rá, közölte Limor Elbaz, a San Jose-beli Finjan alelnöke. Elbaz elmondása szerint alig 30 órát vett igénybe a hiba kiiktatása, így az alelnök a Google reagálási képességét igen jónak minősíthette (ez sajnos számos másik, nagy cégről nem mondható el). Visszatérve a sebezhetőségre: Google-t látogatók azért voltak veszélyben, mert a vállalat website-ja nem minden beviteli mező adatait hitelesítette és szűrte megfelelően. Ennek révén a támadók extra tartalmat ültethettek volna a website-ra, illetve olyan scripteket is feltölthettek volna a Google szervereire, amik aztán lefutottak volna az oldalt meglátogató internetezők számítógépein.

Mindehhez arra lett volna szükség, hogy a támadók rávegyék az áldozatot: kattintson egy (természetesen megfelelő feltételekkel létrehozott) linkre. Elbaz szerint azért volt különösen nagy a veszélye ennek a fenyegetésnek, mert egy ilyen link pontosan ugyanúgy nézett volna ki, mint egy „ártatlan” Google hivatkozás.

További webhelyek veszélyben

Viszonylag gyakran fedeznek fel cross-site scripting hibákat. Idén pont a Finjan volt az a cég, amely a Microsoft Xbox 360 website-jában akadt hasonló sebezhetőségre, de a Yahoo webes e-mailszolgáltatásában szintén ők fedeztek fel egy ilyen problémát. Ez a sorozat egyáltalán nem meglepő, ha tudjuk, mivel foglalkozik a Finjan Software: vállalati hálózatok számára értékesít webalapú támadásokkal szemben védelmet kínáló megoldásokat, illetve olyan eszközök fejlesztésével is foglalkozik, melyek révén át lehet nézni a website-okat, különböző támadási felületek megléte (vagy hiánya) után kutatva.



Szólj hozzá!

További Dotkom

Technokrata a Face-en

Tesztek