Уязвимость в Outlook для Android угрожала 100 000 000 пользователей

Рекомендуем почитать:

Xakep #242. Фаззинг

• Содержание выпуска
• Подписка на «Хакер»

В приложении Outlook для Android, которым пользуются более 100 000 000 человек, устранили опасный XSS-баг.

Уязвимость получила идентификатор CVE-2019-1105 и затрагивала Outlook для Android до версии 3.0.88. Проблема представляла собой так называемую stored XSS, то есть «хранимую» или «постоянную» XSS-уязвимость, и была связана с тем, как приложение парсит входящие письма.

Эксплуатируя данный баг, удаленный атакующий получал возможность осуществить спуфинг-атаку и выполнить вредоносный код на стороне клиента, в контексте текущего пользователя, попросту отправив своей жертве специально подготовленное электронное письмо.

Согласно официальному заявлению Microsoft, о данной уязвимости сообщили сразу несколько ИБ-специалистов, но пока технические детали проблемы или proof-of-concept эксплоиты еще не были опубликованы. Специалисты Microsoft уверяют, что уязвимость не использовалась злоумышленниками для атак.

Источник