Če želite nekoga obtožiti za izdajo nevarne kode izkoriščanja, ki cilja na zevajoče luknje v Yahoo Messengerju, s prstom pokažite na tiskovno predstavnico Yahooja Terrell Karlsten.
Če želite nekoga obtožiti za izdajo nevarne kode izkoriščanja, ki cilja na zevajoče luknje v Yahoo Messengerju, s prstom pokažite na tiskovno predstavnico Yahooja Terrell Karlsten.
Izkazalo se je, da je Karlsten šel v javnost z natančnimi podrobnostmi o dveh hroščih, ki sta bili zasebno -- in odgovorno -- je poročal eEye Digital Security in hekerje usmeril na določene kontrolnike ActiveX, ki so vsebovali ranljivost.
Z uporabo Karlstenovega vodnika heker z imenom "Danny" pokaže a fuzzer pri prepoznanih kontrolnikih ActiveX in v eni uri najde zrušitev, ki je povzročila ranljivosti/izkoriščanja.
Tukaj je časovnica napačnega razkritja napak:
5. junij 2007: eEye objavlja a svetovanje o golih kosteh trdi, da v Yahoo Messengerju obstaja več napak, ki omogočajo oddaljeno izvajanje poljubne kode z minimalno interakcijo uporabnika. Poleg te preproste opombe niso na voljo nobene podrobnosti.
6. junij 2007 ob 16:06: Informativni teden vodi zgodbo s tem neumnim citatom: "Pred kratkim smo izvedeli za a varnostna težava s prekoračitvijo medpomnilnika v kontrolniku ActiveX. Ta nadzor je del kode za nalaganje in ogled slik spletne kamere. Ko smo izvedeli za to težavo, smo si začeli prizadevati za rešitev in pričakujemo, da bomo kmalu imeli popravek,« je povedal tiskovni predstavnik Yahooja Terrell Karlsten. (Poševni tisk je moj).
(Opomba: Information Week pozneje čez dan posodobi svojo zgodbo in odstrani Karlstenovo ime iz stavka. Neowin ima dokaze o izvirni zgodbi).
6. junij 2007 ob 17.50: 'Danny' objavlja svoje prvi podvig s povezavo do zgodbe o Informativnem tednu in se ponaša s svojim odkritjem po samo 45 minutah fuzzinga.
6. junij 2007 ob 19:03: The drugi podvig je izdal "Danny," s še enim sklicevanjem na Karlstenove napotke v delu Information Week.
O tem sem govoril z glavnim hekerskim uradnikom eEye Marcom Maiffretom in on je izpostavil Yahoo kot stranko, ki je zajebala postopek razkritja, s čimer je milijone uporabnikov tvegal napadi z izvajanjem kode.
»Yahoo $#% zvišal. V bistvu so prelili čašo,« je dejal ogorčen Maiffret.
Na Yahoo imam vprašanje za komentar in bom posodobil ta vnos v spletnem dnevniku, če bo potrebno. Pravkar sem se pogovarjal z zelo skesanim Karlstenom, ki je priznal gaf in ga označil za "grozen spregled." Rekla je, da njeni komentarji niso bili predstavnik" Yahoojevega postopka razkritja in je bila napaka, ki bi jo lahko pripisali prizadevanjem podjetja, da bi bilo transparentno in odkrito s svojimi strankami.
Pohvaliti moram Yahoo, ker je izdal ta popravek v rekordnem času (48 ur) in se je po najboljših močeh trudil, da bi uporabnikom ponudil nadgradnjo med postopkom prijave, vendar še vedno mislim, to bi morali močno obravnavati kot obvezno nadgradnjo.
OGLEJTE SI TUDI TE POVEZANE ZGODBE:
Napake z visokim tveganjem v Yahoo Messengerju
Izkoriščanja, izdana za neprijetne napake Yahoo Webcam ActiveX
Microsoftovi nasveti, ki dajejo namige hekerjem