Min?? rok, od kiedy Interia zosta?a po raz pierwszy poinformowana przez Marka Futreg? o lukach w systemie pocztowym portalu. Sprawa do tej pory pozostaje nieza?atwiona, podczas gdy konkurencyjne portale potrafi?y poradzi? sobie z problemem nawet w jeden dzie?. Tymczasem b??dy w poczcie Interii umo?liwiaj? przeprowadzenie naprawd? niebezpiecznych ataków, ??cznie z kradzie?? danych - wszystko zale?y tylko od wyobra?ni atakuj?cego.

Jak pisze na swoim blogu Marek Futrega na stronach poczty elektronicznej portalu Interia znajduje si? kilka luk typu XSS. Zagro?eni s? u?ytkownicy kont tego portalu, sprawdzaj?cy poczt? przy pomocy przegl?darki Internet Explorer Microsoftu.

Wspomniane luki umo?liwiaj? wykonanie dowolnego kodu JavaScript u u?ytkownika systemu Interii. Wystarczy by otworzy? w przegl?darce IE odpowiednio przygotowany e-mail, dzi?ki któremu atakuj?cy mo?e m.in. wykra?? cookies u?ytkownika poczty Interii, skasowa? jego poczt? z serwera, wys?a? j? innym osobom, przekierowa? na dowoln? stron?, poprosi? o powtórne wprowadzenie has?a celem wykradni?cia itp. - pisze Marek Futrega.

Interia mia?a sporo czasu na za?atanie luk. Pierwsze powiadomienie zosta?o wys?ane 16 stycznia 2006 roku, drugie pó? roku pó?niej. Co ciekawe - jak informuje Futrega - pracownicy Interii potwierdzili w obydwu przypadkach przyj?cie zg?osze? i... na tym poprzestali. Nic nie zrobiono nawet po ostrze?eniu, które Marek Futrega wys?a? do Interii dwa tygodnie temu, w którym poinformowa?, ?e po 16 stycznia ujawni informacje o lukach w systemie pocztowym tego portalu, bez czekania na ich usuni?cie.

Jeszcze ciekawszy mo?e wydawa? si? fakt, ?e luki te dotyczy?y tak?e systemów pocztowych innych polskich portali oraz polskich firm oferuj?cych konta poczty elektronicznej. Te jednak powa?nie podesz?y do zg?oszenia i za?ata?y dziury - portal Onet potrzebowa? na to 1 dnia, pozosta?e od kilku dni do kilku tygodni.

Podatno?? poczty Interii na wspomniane luki mo?na sprawdzi? wysy?aj?c e-mail testowy za pomoc? formularza przygotowanego przez Marka Futreg?. Nastepnie nale?y wej?? na skrzynk? pocztow? na Interii przy pomocy przegl?darki Internet Explorer i otworzy? e-mail zatytu?owany: xss test v.2006-01-16. Potem ju? trudno zamkn?? przegl?dark? (przynajmniej IE7) w standardowy sposób ;-) Testy przeprowadzone przez redakcj? DI w przegl?darce Firefox i Opera nie zako?czy?y si? tak dramatycznie, jak w przypadku Internet Explorera.

?ród?o: http://www.di.com.pl/