Popatrzcie jak w USA wygląda postępowanie dotyczące wycieku danych. Mowa w tym przypadku o Yahoo. W pozwie zbiorowym (*) możliwości są takie: Dwa lata bezpłatnego monitoringu kredytowego Od $100 – $358 wypłaty do kieszeni jeśli już takowy posiadasz Do $25 000 (!) jeśli w związku z włamaniem ktoś wykradł Ci tożsamość:…
Czytaj dalej »
Przygoda rozpoczęła się od rekonesansu – czyli użyciu narzędzi typu Zoomeye, czy Shodan w celu znalezienia odpowiedniego celu. Niezłym celem okazał się datax.yahoo.com, gdzie po krótkim bruteforce katalogów na webserwerze, udało się zlokalizować API. Finalnie udało się wykorzystać w stosunkowo prosty sposób podatność w SpEL (Spring Expression Language) i po chwili…
Czytaj dalej »
Biblioteka ImageMagick, raczej w ostatnich miesiącach nie ma szczęścia. Tym razem udało się komuś przygotować prosty (18 bajtów!) obrazek, który wysłany pocztą Yahoo do samego siebie, po przetworzeniu zawierał… fragmenty pamięci z serwerów: The attack vector for these demos was to attach the 18-byte exploit file (or a variant) as a…
Czytaj dalej »
Czy ktoś konkretny ucierpiał finansowo w tym temacie… na razie nie, czy ktoś zgłosił się po odszkodowanie? Chyba też nie… Natomiast bardzo konkretna jest kwota – okrągłe $350 000 000, które zmniejszyło wcześniej wynegocjowaną wartość przejęcia Yahoo przez Verizon. Jako powód zmniejszenia kwoty sprzedaży podaje się wykrycie dwóch wycieków z Yahoo obejmujących w sumie około…
Czytaj dalej »
Yahoo! podniosło poprzeczkę i przyznało, że kompromitacji uległo przeszło 1 000 000 000 (miliard) kont użytkowników: (…) unauthorized third party, in August 2013, stole data associated with more than one billion user accounts Wyciekły takie dane jak: imiona / nazwiska emaile hashe MD5 haseł telefony daty urodzin dodatkowe pytania bezpieczeństwa…
Czytaj dalej »
Tym razem w akcji persistent XSS. Można było przygotować odpowiednio maila, który po przeczytaniu w webmailu Yahoo powodował automatyczne wykonanie JavaScriptu w przeglądarce ofiary. Odkrywca błędu w ramach PoC przygotował stosowną wiadomość: As a proof of concept I supplied Yahoo Security with an email that, when viewed, would use AJAX to…
Czytaj dalej »
Reuters donosi o specjalnym oprogramowaniu w Yahoo służącym do skanowania przychodzących e-maili. Całość na życzenie NSA lub FBI. Tego typu rzeczy oczywiście się dzieją, ale zastanawiający jest fakt, że wg Reutersa analizowana była (jest?) przychodząca poczta wszystkich użytkowników (a nie np. wybranej grupy). Proceder miał wg źródeł miejsce w wyniku…
Czytaj dalej »
Spektakularnym wyciekom końca nie widać… tymczasem Yahoo potwierdza wykradzenie przynajmniej 500 milionów kont swoich użytkowników! Wyciekły: e-maile, numery telefonów, daty urodzeń i hasła (w formie zahashowanej). Wyciek datowany jest na 2014 i wg Yahoo został wykonany przez organizację, za którą stoi jeden z rządów (state-sponsored actor): The data stolen may…
Czytaj dalej »
Był już LinedIN, był MySpace – teraz ten sam sprzedający wystawił bazę 200 milionów kont z Yahoo (e-mail / hash MD5(1) / data urodzenia). Baza jest prawdopodobnie z okolic 2012 roku, a tym razem cena to 3 BTC, a Yahoo tak komentuje całą sprawę: We are committed to protecting the security…
Czytaj dalej »
Po fali krytyki, jaka przelała się przez Internet w związku z mizerną nagrodą przyznaną za błędy znalezione w systemach Yahoo, nie trzeba było długo czekać na reakcję amerykańskiej korporacji.
Czytaj dalej »
Badacze z firmy High-Tech Bridge odkryli trzy podatności obecne w systemach jednego z internetowych potentatów — korporacji Yahoo. Znana firma doceniła jednak ich starania dość mizernie… czyżby Yahoo nadal nie zamierzało inwestować w bezpieczeńśtwo?
Czytaj dalej »
Marissa Mayer, dyrektor generalny Yahoo oraz pierwsza kobieta-inżynier w historii firmy Google, nie dba najwyraźniej wystarczająco o bezpieczeństwo.
Czytaj dalej »
