En los últimos días Georgi Guninski, un clásico de nuestro
sistema de noticias por sus frecuentes hayazgos de agujeros, ha
centrado sus avisos de seguridad contra Hotmail.
El problema una vez más se centra en la posibilidad de ejecutar
código javascript inyectado a través de una etiqueta html. El
sistema de seguridad de Hotmail incluye filtros que tratan de
evitar la inclusión de código javascript dentro de los mensajes,
pero estas medidas de seguridad pueden evitarse mediante la
inclusión del código dentro de etiquetas html no controladas.
El problema está en que mediante el uso de los comandos
javascript se puede reproducir la ventana en la que el usuario
introduce su password para leer el correo. Así, el usuario
convencido que por algún error en la comunicación debe volver a
introducir su password en realidad se la facilita al usuario
malicioso que envió el mensaje.
En los últimos días Georgi Guninski ha descubierto diversos
fallos en la protección de Hotmail que permiten la inyección de
código javascript dentro de diversas etiquetas. En sucesivos
avisos Guninski ha hecho tambalearse la seguridad de Hotmail,
obligando a trabajar duro a los técnicos de Microsoft para que
parchearan de forma repetida el sistema. Los comandos afectados
son los siguientes,
, y
«@import url(javascript:…)»
Más información:
Bugtraq 1
Bugtraq 2
Bugtraq 2
antonior@hispasec.com
