QR CodeOrange Multi Box posiada luki w zabezpieczeniach

Piotr Baranowski, 19 stycznia 2007, 13:11 (ostatnio zmodyfikowano w Saturday, 20 stycznia 2007 o 00:13)
Tagi: Orange, bezpieczeństwo

Specjaliści z serwisu Hacking.pl wykryli kolejną lukę w zabezpieczeniach, tym razem oberwało się Orange i usłudze Multi Box.

Jak podaje Hacking.pl serwis internetowy Orange podany jest na atak XSS, w wyniku którego po odebraniu przez stronę www odpowiednio spreparowanego maila, można przechwycić dane dotyczące nawiązanego połączenia co w finale umożliwia osobie atakującej nieautoryzowany dostęp do konta klienta. Bez dalszej autoryzacji uzyskujemy dostęp do sekcji:

konto email (wysyłanie, edycja, kasowanie wiadomości)
edycja profilu konta - sekcja umożliwia edycję parametrów poczty głosowej (powitań, opcji powiadamiania, pobudki itp.)
historia wysłanych przez bramkę sms’ów i mms’ów
historia odebranych przez bramkę sms’ów i mms’ów
zmiany hasła do konta i pytania przypominającego hasło
foldery - usługa pozwalające trzymać własne pliki na wirtualnym dysku
kalendarz
książka adresowej
notatki
Dodatkowo, wchodząc na stronę „Orange On-Line” możemy uzyskać informacje o numerze telefonu osoby atakowanej i usługach, które posiada zaktywowane na numerze telefonu.

W oświadczeniu podanym przez Michała Gruszkę rzecznika prasowego Orange, możemy dowiedzieć się, że luka ta zostanie usunięta jeszcze dzisiaj, a w wyniku przeprowadzonej analizy okazało się, że szansa zaistnienia sytuacji naruszenia prywatności klientów jest znikoma.

Aktualizacja
Po dwóch godzinach programiści Orange przy współpracy z redakcją Hacking.pl poprawił błędy w zabezpieczeniu swojego serwisu.

Źródło: Hacking.pl

reklama

Ostatnie opinie internautów

1 - 4

	Lukaszek 19.01.2007 @ 13:46
	No ładnie wszystkie smsy, wszystkich klientów mogą zostać przeczytane. Niezbyt miło.

	tranceman 20.01.2007 @ 00:06
	hehe polaska w duzej mierze jest zle zabezpieczona - moj znajomy - ktory jest zreszta czlonkiem ekipy hacking.pl ostatnio zlamal zabezpieczenia MON'u ;) oczywiscie MON o tym wie i juz podobno zlozyl propozycje zdolnemu hackerowi aby ten zalatal dziury - oczywiscie nie za darmo :D

	naresh 21.01.2007 @ 23:30
	Sporo firm (nie w polsce) oferuje po prostu kase za wykrycie i ewentualne zalatanie dziur w serwisie... A jedna brytyjska firma oferuje 10 tys funtow za zawirusowanie ich serwera... Ale oferta nei zostala wykorzystana od paru ladnych lat :)