Andrea Beggi » Buco nella sicurezza della posta Fastweb

A T T E N Z I O N E ! Questo post ha piu' di sei mesi. Le informazioni contenute potrebbero non essere aggiornate.

Sei un utente Fastweb, e usi la webmail per controllare la tua casella. Qualcuno ti manda un messaggio con un link a questo blog. Tu clicchi, ed il referrer che mi trasmetti contiene anche il sid di sessione. Risultato: cliccando sul referrer vedo il tuo messaggio esattamente come lo hai letto tu. Ho cercato sul sito Fastweb un recapito adatto per avvertire, ma non sono stato in grado di trovarlo, qualcuno ha un indirizzo a cui posso scrivere?

Tags: TCP/IP, Tecnica

14 Commenti

xarface — Il 14/05/2005 alle 16:51

Non � l’unico caso: � pieno di webmail che fanno la stessa cosa.

C’� da dire che il tutto � appena un po’ mitigato dal fatto che se l’utente esce dalla sua webmail prima che tu ci vada a mettere il naso, l’id di sessione non � pi� valido.

Ma c’� anche da dire che il bug pu� essere sfruttato in maniera pi� infame: se tu mandi una mail in formato HTML a un utente fastweb e ci piazzi dentro un elemento dinamicamente generato da un tuo server, puoi fare in modo che appena la vittima legge il messaggio, tu venga avvisato in tempo reale e quindi ti precipiti a intrufolarti nella sua mailbox.

PlacidaSignora — Il 14/05/2005 alle 17:19

Ricevo direttamente su outlook, ma non uso mai quell’indirizzo. Per� � grave che accada questo: forse telefonare all’assistenza � meglio che scrivere: se scrivi non rispondono mai. (non che � che telefono, vabb�…;-)
Qui c’� niente come indirizzo?
(Ho tolto l’indirizzo su richiesta di Placida Signora. Andrea)

Tony Siino — Il 14/05/2005 alle 17:50

Attento che se Gianluca Neri vede l’immagine ti decripta tutti gli indirizzi sotto le pecette con la vista a raggi ics!

Andrea Beggi — Il 14/05/2005 alle 18:23

@xarface: in effetti il link adesso non funziona pi�.
@PlacidaSignora: sospetto che al telefono non capirebbero neppure di cosa sto parlando, se conosco i miei polli.
@Tony: in effetti ci avevo pensato.

PlacidaSignora — Il 14/05/2005 alle 19:55

E provare a parlarne nel forum?
http://www.fastweb.it/forum/index.php (stavolta indirizzo corretto

Procionegobbo — Il 14/05/2005 alle 19:58

Molto grave, conosco gente che tiene la webmail aperta tutto il giorno per leggere la posta dall’ufficio.

Giovy — Il 14/05/2005 alle 20:54

Wow, bel bucone, complimenti Andrea, stai per diventare famoso come il GNeri…
… e mi ha fatto morire dal ridere il commento di Tony… great!

La Voce del Procione — Il 14/05/2005 alle 21:34

Warning per la webmail di fastweb

Bug sulla webmail di fastweb segnalato da Andrea Beggi

Andrea Beggi — Il 14/05/2005 alle 22:38

@Placida: per accedere al forum bisogna essere utenti Fastweb.

Zu — Il 15/05/2005 alle 14:15

Sul forum (sezione MegaInternet) � gi� stato segnalato, ma non so quale peso possa avere. Tanto per dire, sono utente Fastweb dal 2000 ed � la prima volta che accedo al forum per dare un’occhiata (e solo perch� me l’ha chiesto Placida).