Registrato: 10/03/06 10:43 Messaggi: 25282 Residenza: Napoli Status: Offline
Inviato: Ven 09 Ott, 2009 6.00 Oggetto:
Transazioni PayPal a rischio per vulnerabilità in Windows
Zeus News Un hacker ha reso pubblico un certificato Ssl che permette di leggere in chiaro le transazioni PayPal. Problemi anche per Chrome e Safari.
[ZEUS News - www.zeusnews.com - 08-10-2009]
Alcuni giorni fa è stato reso pubblico un certificato Ssl che permette un attacco di tipo man-in-the-middle alle connessioni criptate a PayPal effettuate tramite i browser Internet Explorer, Chrome e Safari su piattaforma Windows. La vulnerabilità era nota da tempo ma sinora non era stata sfruttata almeno pubblicamente; non per PayPal.
In un attacco man-in-the-middle (uomo nel mezzo) l'attaccante assume due identità e si interpone tra l'utente e il server: il primo crede di connettersi al server reale, mentre si sta connettendo con l'attaccante. Al server succede la stessa cosa: scambia l'attaccante per il client.
Stando nel mezzo grazie alla vulnerabilità suddetta, un attaccante può far credere al browser dell'utente di essere PayPal, grazie al certificato e rimbalzando le connessioni verso PayPal. PayPal cifrerà le risposte per il nostro attaccante che a sua volta, dopo averle lette, le ricifrerà per la vittima - che così non si accorgerà di nulla.
Questa vulnerabilità è dovuta a un vecchio mix di tecnologie che Microsoft continua ad usare: le API NT utilizzano stringhe Unicode nativamente, mentre le API Win32 usano le vecchie stringhe C (delimitate da un null). Le stringhe Unicode delle API NT "conoscono" la loro dimensione; le stringhe C no, vanno lette sino a quando non si trova un carattere null (\0).
La mescolanza di queste due tecnologie ha permesso vari tipi di exploit, il cui fulcro è l'iniezione di codice basandosi sul fatto che si possono creare situazioni in cui una data funzione non sa quando fermarsi.
Al momento non ci sono patch, tuttavia Firefox non risente di questa vulnerabilità poiché utilizza una propria API crittografica. _________________ Why do we feel it's necessary to yak about bullshit, in order to be comfortable? That's when you know you've found somebody special. When you can just shut the fuck up for a minute and comfortably enjoy the silence (Mia Wallace alias Uma Thurman, Pulp Fiction)
Registrato: 10/03/06 10:43 Messaggi: 25282 Residenza: Napoli Status: Offline
Inviato: Ven 09 Ott, 2009 12.03 Oggetto:
basta Firefox stavolta _________________ Why do we feel it's necessary to yak about bullshit, in order to be comfortable? That's when you know you've found somebody special. When you can just shut the fuck up for a minute and comfortably enjoy the silence (Mia Wallace alias Uma Thurman, Pulp Fiction)
Non puoi inserire nuovi argomenti Non puoi rispondere a nessun argomento Non puoi modificare i tuoi messaggi Non puoi cancellare i tuoi messaggi Non puoi votare nei sondaggi