Foi recentemente descoberta uma vulnerabilidade sobre o sistema de email da Uber, que poderia permitir a qualquer pessoa enviar uma mensagem de email como sendo da entidade – o que abre portas para possíveis ataques.
O investigador de segurança que revelou a falha afirma que a mesma pode ser usada para afetar os mais de 57 milhões de utilizadores da Uber, sobretudo os que foram afetados pelo leak da empresa em 2016. No entanto, a Uber não parece com intenções de corrigir este problema.
A falha foi descoberta pelo investigador Seif Elsallamy, que através do seu blog revela que o sistema de emails da plataforma possui uma falha grave, na qual qualquer pessoa pode enviar uma mensagem como sendo da Uber. Estes emails seriam enviados diretamente dos servidores da Uber, e para os clientes de email iriam surgir como legítimos, uma vez que o são.
Para demonstrar a falha, o investigador enviou para si mesmo um email que estaria a ser controlado pelo mesmo, usando o domínio da Uber. Este email, uma vez que é enviado diretamente dos servidores da empresa, vai ser validado como legitimo na maioria dos clientes de email, e possivelmente chega diratemente na caixa de entrada dos mesmos.
O investigador terá informado a Uber sobre a falha, no entanto, a mesma aparenta não ter compreendido a gravidade da situação. Através do sistema de report do HackerOne, a empresa afirma que a falha encontra-se fora das aceites para validação, visto que parte de um “ataque direcionado” a funcionários da empresa e não pode ser explorada ativamente.
No entanto, esta falha vai mais longe do que o indicado. Segundo o investigador, a falha encontra-se diretamente no sistema de envio de emails da Uber, sobre o qual uma das plataformas usadas pela empresa para o envio destas mensagens encontra-se aparentemente vulnerável. O investigador não revelou detalhes publicamente sobre a falha para evitar que esta possa ser explorada.
Até ao momento a Uber ainda não revelou detalhes sobre este incidente, sendo ainda desconhecido se a empresa terá ou não corrigido o mesmo.
Aplicações TugaTech
Discord do TugaTech
RSS do TugaTech
Speedtest Tugatech
Host TugaTech