有4名研究人员先后发现同一个能滥用Uber官方账号发动网钓攻击的安全漏洞,但他们宣称Uber在得知此事时却态度冷漠或不予回应
![Uber含有一个让任何人都能以Uber官方账号寄送邮件的安全漏洞](https://www.gameducky.com/wp-content/themes/justnews/themer/assets/images/lazy.png)
一名安全研究人员Seif Elsallamy在去年底通过HackerOne抓漏奖励项目,提交了一个Uber漏洞,该漏洞允许任何人以Uber的名义及官方帐号寄送电子邮件,却遭到Uber以超出范围(out-of-scope)拒绝。 当Elsallamy通过推特揭露此一漏洞之后,才发现至少有另外3名安全研究人员在更早之前、就提报了同一个漏洞,且陆续遭到Uber忽略。
Elsallamy在推特上公布了他利用@uber.com 寄给自己的邮件,另也寄了一封概念性验证攻击邮件予《BleepingComputer》,在此一测试邮件中,发件人字段为Uber for Business <noreply@uber [.] com>,邮件内容则是诓称用户账号有问题,要求用户输入自己的信用卡信息进行验证,以展示运用该漏洞而进行的网钓攻击。
由于Uber曾在2016年遭到骇客入侵,同时外泄5,700万名Uber乘客与司机的数据,这使得Elsallamy质疑,倘若此一安全漏洞遭到骇客滥用,再佐以这5,700万笔的外泄资料,那么后果将不堪设想。
有趣的是,当Elsallamy揭露此一漏洞之后,陆续有其他安全研究人员指出他们也曾提交同一个安全漏洞,但皆遭Uber忽略,其中的Shiva Maharaj甚至表示,他曾在2015年及2016年提交该漏洞,不过Uber并不在乎;另外两名安全研究人员则是在去年提出,同样直接被跳过。
迄今Uber尚未回应媒体或公开对外说明此事。
赞 (0)
打赏
微信扫一扫
![微信扫一扫](https://www.gameducky.com/wp-content/uploads/2021/12/2021122203132290.jpg)