Yahoo! corrige grave vulnerabilidad en su correo

Yahoo! ha solucionado un problema de seguridad que dejaba a los usuarios de su popular servicio de correo web, en riesgo de que sus credenciales de acceso y todo el contenido de sus cuentas fuera robado.

El fallo, un problema de “cross-site scripting” (ejecución de código de un dominio en otro diferente), permitía que el identificador de la sesión iniciada por el usuario al acceder a su cuenta de correo, pudiera ser accedido por un atacante. Sin embargo, esto implicaba cierta interacción entre Yahoo! Mail y Yahoo! Messenger.

La brecha de seguridad fue descubierta en mayo de 2008 por investigadores de la firma de seguridad Cenzic, la que colaboró con Yahoo! para resolver el problema. El pasado 13 de junio el agujero fue cerrado, lo que permitió a Cenzic publicar un informe detallado.

El aviso de seguridad explica que para que el fallo pudiera ser explotado, los delincuentes debían primero establecer el status de amigos de sus víctimas mediante Yahoo! Messenger, para luego llevar a cabo el ataque a las cuentas del servicio de correo web de Yahoo!.

El problema ya ha sido solucionado, y ninguna acción es requerida de parte del usuario, aunque de todos modos se recomienda cambiar la contraseña de acceso.

jueves, 3 de julio de 2008