En webbapplikation som automatiserar inloggningsprocessen mot mejltjänsten Yahoo Mail visar sig sakna skydd mot brute-force attacker, något som öppnat för systematiska angrepp där det bara är en fråga om tid innan konton blir hackade. Det menar Ryan Barnett, forskningschef på Breach Security som granskat hur applikationen svarar på anrop.
Under de senaste veckorna har en sensor, installerad av Web Application Security Consortium, läst av tusentals inloggningsförsök mot Yahoos webbapplikation via dess textbaserade applikationsgränssnitt (api). Då sensorn endast ser angreppen mot en enda proxy, bland en stor mängd, gissar Barnett att den bara rapporterar ”toppen av isberget” när det gäller det totala antalet brute-force försök.
Själva webbapplikation i detta fall ser ut att utgöra en slags bakdörr som via sitt api-gränssnitt ger Yahoos samarbetspartners åtkomst till Yahoo-mejlkonton utan att de behöver lämna sina egna webbplatser.
Till skillnad från Yahoo Mails webbfront, där användare tvingas ange en captcha-kod vid misslyckade inloggningar, kräver inte den granskade api:n något sådant, en brist som väsentligen förenklar automatiserade angrepp, menar Barnett.
Inte heller begränsas den feedback som ges vid felaktigt lösenord av varianter som ”Fel användarnamn eller lösenord”, en teknik som ska göra det svårare för angripare att komma underfund med om det var användarnamnet eller lösenordet som var felaktigt.
Yahoos api returnerar rakt på sak huruvida det var lösenordet eller användarnamnet som angavs felaktigt, uppger Barnett. Detta underlättar gissningsförsöken då det vid positivt träff på slumpade användarnamn endast blir en fråga om att gissa rätt lösenord.
Enligt Barnett, som under förra veckan bloggade i detalj om detta, har sårbarheten funnits i minst två år. Han informerade Yahoo om problemet under 2007, men så sent som i fredags förra veckan kvarstod sårbarheten, uppger han till The Register.
Yahoo har samtidigt svarat att man tar online-säkerhet på stort allvar och att man undersöker saken med avsikten att vidta lämpliga åtgärder.
