آسیب پذیری XSS در وبگاه LifeLock

LifeLock یک شرکت آمریکایی است که خدماتی جهت محافظت از مشتریان در مقابل «سرقت هویت» را ارائه میکند. منظور از سرقت هویت، جعل و سوءاستفاده از هویت افراد در خدمات بانکی و اعتباری و سایر موارد اجتماعی است.

به گزارش آی تی اس ان (پایگاه خبری امنیت فناوری اطلاعات) ، محققان امنیتی در وبگاه این شرکت یک آسیبپذیری XSS۱ را کشف کردهاند که به مهاجم این امکان را میدهد که با ایجاد یک صفحهی جعلیِ ورود به حساب کاربری، شناسهها و گذرواژههای مشتریان را جمعآوری نماید.

LifeLock بلافاصله پس از شناسایی این آسیبپذیری توسط دو محقق امنیتی به نام اریک تیلور و بلک ولش، آن را وصله کردهاند.

این آسیبپذیری در صفحهای از این وبگاه کشف شده است که مربوط به معرفی این شرکت به سایر دوستان است و با عنوان Refer Friend شناخته میشود.

آسیبپذیری در حالی توسط محققین کشف شد که آنها متوجه یک پارامتر به صورت کد HTML در آدرس URL صفحهی آسیبپذیر شدند، و به این ترتیب با بررسی تزریق سایر کدها به URL متوجه شدند که به راحتی میتوان از این آسیبپذیری در کمپینهای فیشینگ استفاده نمود.

این دست آسیبپذیریها، بسیار شایع است و مهم عکسالعمل سریع مسئولان شرکت است تا این آسیبپذیری را وصله نمایند و مانع از بروز خسارات سایبری زیادی شوند.

papsa