Falha no IE deixa Hotmail e Yahoo! vulneráveis

A tecnologia de filtragem usada pelos webmails (como o Hotmail e o Yahoo!Mail) possui uma falha de segurança que permite o envio de vírus e vermes entre estes serviços sem que eles consigam se defender dos ataques, por exemplo.A descoberta foi da empresa israelense GreyMagic Software, que diz ainda que o ataque pode ser executado também em outros serviços de e-mail acessados pelo Internet Explorer. A falha permite ao atacante executar o código que ele quiser na máquina invadida - e, para tanto, basta enviar um e-mail para qualquer usuário destes serviços e que o destinatário abra a mensagem.


Para explorar esta vulnerabilidade, o cracker usa a tecnologia do IE chamada HTML + TIME, usada para a sincronização de tempo em arquivos de mídia em páginas HTML. Um dos seus recursos desta tecnologia permite a troca de atributos de uma mensagem, enganando assim o sistema de filtragem dos serviços de webmail, que é feito em dois passos. O script invasor entra em operação na segunda etapa, após o pedido de confirmação do atributo alterado.


Segundo a GreyMagic, além da distribuição de vírus e vermes a falha também pode ser usada para o roubo de senhas e nomes de login; para revelar o conteúdo de mensagens na caixa de correio; para o envio automático de e-mails; para exploração de outras vulnerabilidades que possam existir no browser; e para divulgar para terceiros todos os contatos existentes no livro de endereços da máquina invadida.


A empresa disse que está trabalhando desde o último dia 11 em parceria com a Microsoft e que o Hotmail já está imune a este problema, mas que ainda não havia recebido uma resposta da Yahoo!.