Ago
21

21/08/2001 Fallo de seguridad en Hotmail

Un fallo de seguridad en Hotmail, permite a un atacante leer el correo
electrónico de cualquier usuario.
Para explotar este fallo el atacante introducirá el nombre de usuario
de un cliente de Hotmail, esta parte es fácil debido a la saturación
del servicio, ¿A quien no le han devuelto el típico mensaje?, "Error
de registro: alguien ha elegido ya ***", posteriormente el atacante
procederá a introducir el número de sesión que viene en un formato
tipo "MSG943322803%2e16", siendo el numero final el utilizado con el
fin de explotar esta vulnerabilidad.

El problema en sí está agravado en este caso debido a que el numero de
sesión que utiliza Hotmail es correlativa, pero por otro lado la
facilidad de acceso se ve restringida a un único mensaje de correo
electrónico por cada intento, no a la bandeja de entrada en general,
lo que hace de la explotación de esta vulnerabilidad sea algo tediosa
y poco fructífero.

Pero nuevamente tenemos que dar malas noticias a los usuarios de
Hotmail, el grupo Root Core, descubridor de esta vulnerabilidad, ha
desarrollado un programa que prueba a una velocidad de un mensaje
por segundo la validez de los números de sesión.

Recomendamos a los usuarios de Hotmail que borren los mensajes después
de ser leídos, o que lo copien a su ordenador y posteriormente ejecuten
el primer paso.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=1031

Más Información:

Three Steps To View Someones Emails In Hotmail (rev.2)
http://rootcore.can-host.com/files/hackhotmail.txt

Hotmail
http://www.hotmail.com/

Antonio J. Román Arrebola