投稿
  1. 谷达鸭首页
  2. 投稿

Uber含有一个让任何人都能以Uber官方账号寄送邮件的安全漏洞

BOB • • 投稿

有4名研究人员先后发现同一个能滥用Uber官方账号发动网钓攻击的安全漏洞，但他们宣称Uber在得知此事时却态度冷漠或不予回应

Uber含有一个让任何人都能以Uber官方账号寄送邮件的安全漏洞

一名安全研究人员Seif Elsallamy在去年底通过HackerOne抓漏奖励项目，提交了一个Uber漏洞，该漏洞允许任何人以Uber的名义及官方帐号寄送电子邮件，却遭到Uber以超出范围（out-of-scope）拒绝。 当Elsallamy通过推特揭露此一漏洞之后，才发现至少有另外3名安全研究人员在更早之前、就提报了同一个漏洞，且陆续遭到Uber忽略。

Elsallamy在推特上公布了他利用@uber.com 寄给自己的邮件，另也寄了一封概念性验证攻击邮件予《BleepingComputer》，在此一测试邮件中，发件人字段为Uber for Business <noreply@uber [.] com>，邮件内容则是诓称用户账号有问题，要求用户输入自己的信用卡信息进行验证，以展示运用该漏洞而进行的网钓攻击。

由于Uber曾在2016年遭到骇客入侵，同时外泄5，700万名Uber乘客与司机的数据，这使得Elsallamy质疑，倘若此一安全漏洞遭到骇客滥用，再佐以这5，700万笔的外泄资料，那么后果将不堪设想。

有趣的是，当Elsallamy揭露此一漏洞之后，陆续有其他安全研究人员指出他们也曾提交同一个安全漏洞，但皆遭Uber忽略，其中的Shiva Maharaj甚至表示，他曾在2015年及2016年提交该漏洞，不过Uber并不在乎;另外两名安全研究人员则是在去年提出，同样直接被跳过。

迄今Uber尚未回应媒体或公开对外说明此事。

赞 (0)
打赏 微信扫一扫 微信扫一扫
BOBBOB认证作者
0 0

相关推荐

发表评论

登录后才能评论