Nueva vulnerabilidad XSS en la seguridad de las cuentas de Google
le está promocionando el uso de las cuentas
de usuario para ofrecernos alrededor de ellas herramientas personalizadas para gestionar mejor el acceso a la
información: búsquedas personalizadas,
Gmail,
Google Calendar,
Google Desktop, ...
Sin embargo, el precio de poder acceder a este tipo de servicios tan personalizados es, por una parte, el temor a que
una sola compañía pueda tener acceso a una gran cantidad de información privada, y por otra, que en caso de que alguien
acceda a tu cuenta personal, éste puede acceder tanto a las búsquedas que has ido realizando durante los últimas
semanas, como a tus correos, a tu lista de contactos, a tus eventos, a los contenidos de tu Disco Duro, ...
Durante los últimos años, hemos ido conociendo casos de vulnerabilidades de estas herramientas personalizadas, que
permitían acceder a ellas:
[1],
[2],
[3]. La mayoría de estos agujeros de seguridad estaban relacionados con
el uso de XSS (Cross-Site Scripting), mediante el cual se puede redireccionar
al usuario a un sitio web en el cual un atacante puede hacerse con la
Cookie de nuestro navegador referida a la sesión de uso de las cuentas
personales de Google, y con ella acceder a nuestro espacio personal.
La última vulnerabilidad de este tipo ha sido descubierta hace unas horas
por Philipp Lenssen y Tony Ruscoe, los cuales ya han
puesto en alerta al equipo de seguridad de Google a través de los cauces
habituales. Se asegura que la página de prueba que 'roba' la cookie del usuario la han albergado en uno de los
servicios que se ofrecen con el dominio 'algo.google.com', lo que aumenta el riesgo de que alguien no sienta desconfianza y,
cuando esté ya solucionado el incidente, nos contarán exactamente de qué se trataba.
ACTUALIZADO: Más detalles sobre la vulnerabilidad en este post.
Publicado el 13 de enero de 2007 | Categoría: problemas
Puedes dejar un comentario sobre la noticia del post rellenando y enviando el siguiente formulario. Los campos marcados con asterisco (*) son obligatorios.
|
