La mayoría de los Bug Bounty organizados por las grandes compañías ofrecen premios en metálico bastante importantes. Yahoo! no ha sido una excepción y podría decirse que el premio ha estado sin lugar a dudas a la altura del error reportado. Y es que un investigador ha descubierto una vulnerabilidad en la plataforma de e-commerce de la compañía, permitiendo realizar comprar gratuitas y modificar el precio de los artículos.
Mark Litchfield, el afortunado que ha conseguido el montante de 24.000 dólares por el reporte, ha confirmado que en total son tres vulnerabilidades (una que provoca la aparición de otras dos) que de forma conjunta permitían la obtención de resultados muy diversos. La primera de ellas y de la que dependen las otras dos consiste en permitir que una tercera persona sea capaz de hacerse con el control de un sitio web creado en Yahoo! Small Business, disponiendo de total autoridad para editar el contenido de este.
La segunda vulnerabilidad sigue relacionada con el acceso no autorizado a los sitios web de esta plataforma, pero en esta ocasión permite la compra de artículos a coste cero, aplicación de descuentos no fijados por el propietario y la modificación del precio.
Después de conocer los dos primeros, vamos con el tercero y último, provocando un acceso no autorizado al servicio Yahoo! Web Hosting, haciendo uso de las credenciales de un usuario y disfrutando de total libertad para realizar cualquier tipo de operación. En otro artículo explicamos cómo evitar ERR_HTTP2_Inadequate_Transport.
El nuevo sistema de «contraseñas» de Yahoo! pondría fin a estos problemas
Tal y como era de imaginar, estas vulnerabilidades ya han sido resueltas, sin embargo, la compañía tiene puestas las esperanzas en un nuevo sistemas de inicio de sesión que presentó esta misma semana y que permitía ingresar en cualquier servicio haciendo uso de una contraseña que podría considerarse dinámica. Se trata de un tipo de autenticación en dos pasos pero sin serlo en realidad. Cuando un usuario se dispone a iniciar sesión en un servicio la contraseña es enviada a otro soporte (SMS o dirección de correo electrónico) y solo es válida para un único intento.
Esto quiere decir que una vez que se cierre la sesión la próxima vez será necesario solicitar otra nueva, evitando de esta forma que las contraseñas robadas sean utilizadas para secuestrar cuentas.
Fuente | The Hacker News
