Newsgroup: it.discussioni.animali.cani
Titolo: [OT] Occhio per chi sta su Tiscali e Interfree ...

Utenti di Tiscali? Occhio alle Web-mail
Punto Informatico è venuto a conoscenza di una vulnerabilità presente nel
sistema di Webmail del portale di Tiscali che mette a serio rischio la
sicurezza e la privacy dei suoi utenti consentendo ad estranei l'accesso
alla loro mailbox
Occhio al bug!
30/05/01 - News - Roma - La vulnerabilità scoperta da Punto Informatico nel
sistema di Webmail di TiscaliNet può seriamente compromettere la privacy e
la sicurezza degli utenti e-mail del noto portale di Tiscali.
Secondo quanto da noi accertato è possibile, con modeste conoscenze
tecniche, ottenere l'indirizzo HTTP necessario per accedere alla casella di
posta elettronica su Web di un utente TiscaliNet e, aggirando il controllo
su nome utente e password, poter leggere, cancellare ed inviare mail come se
si fosse i legittimi proprietari di quella mailbox.
Vedremo in seguito che questo è possibile soltanto nel caso in cui l'utente
clicchi su di un URL contenuto all'interno di una e-mail e finché lo stesso
utente rimanga loggato nella sua mailbox su Web.
Nei giorni scorsi, aiutati anche da Anna Bruno di Fullpress.it, il nostro
staff tecnico ha provato le Webmail di una decina di fornitori di accesso ad
Internet e, per quanto abbia potuto verificare, nessuno di questi sembra
presentare la stessa vulnerabilità scoperta nel sistema di TiscaliNet.
Purtroppo ieri, pur avendo cercato fin dalla mattinata di metterci in
contatto con qualche responsabile di Tiscali, non abbiamo ottenuto da loro
nessuna risposta. Rimanendo quindi a disposizione per ogni chiarimento,
andiamo ad esporre più in dettaglio il problema.
La vulnerabilità
La debolezza insita nel sistema di Webmail di Tiscalinet è tutto sommato
abbastanza banale. Il problema si pone nel momento in cui l'utente clicca,
dall'interno di un'e-mail contenuta nella propria mailbox su Web, un link
attivo verso un sito.
 Cliccando su tale link l'utente di fatto svela, al server di destinazione,
il suo indirizzo Web di provenienza, conosciuto anche dagli addetti ai
lavori come "referrer". Il referrer può essere ottenuto, dagli
amministratori di quel sistema, in svariati e semplicissimi modi: basta
stampare la variabile d'ambiente $HTTP_REFERER con una sola riga di un
qualsiasi linguaggio di script, o utilizzare altri molteplici strumenti di
statistica e monitoraggio degli accessi.
Ma fin qui tutto normale: l'indirizzo di provenienza viene fatto filtrare
verso l'esterno da moltissimi altri sistemi di Webmail senza per questo
mettere a repentaglio la sicurezza dei propri utenti.
Con TiscaliNet succede invece che se un malintenzionato prende l'indirizzo
di provenienza di un ignaro utente che in quel dato momento ha cliccato sul
suo server e lo mette dentro ad un browser, lo spione si ritroverà dritto
dritto dentro la mailbox su Web di quell'utente senza che questo si accorga
di nulla.
Per capire meglio come tutto questo possa avvenire abbiamo chiesto il parere
di un esperto, Daniele Bochicchio, content manager di ASPItalia.com.
Il parere dell'esperto
"Un bug molto grave, non c'è che dire", ha commentato Bochicchio. "Si può
avere accesso alla posta di un utente collegato alla Webmail di TiscaliNet
semplicemente ottenendo il suo indirizzo di referrer. Fino alla scadenza
della sessione, è sufficiente inserire l'URL esatto et voilà: come per
magia, si potrà accedere alla mailbox di un utente loggato sul Web in quel
momento".
 Basterebbe ad esempio far circolare una mail o una newsletter che abbia
come unico intento quello di far cliccare gli utenti su di un certo
"indirizzo trappola" in cui vengano registrati tutti i referrer dei
visitatori.
"È un bug grave - continua Bochicchio - soprattutto perché, sebbene possa in
teoria essere sfruttato solo da chi dispone di un server Web e nel caso in
cui l'utente acceda a quel server dalla sua mailbox, una volta scoperto (e
non è detto che qualcuno non lo abbia fatto prima di voi) potrebbe davvero
essere alla portata di un bel po' di malintenzionati."
A tal proposito, e visto che purtroppo non conosciamo i tempi di intervento
di TiscaliNet, è bene che gli utenti del noto servizio di Webmail evitino di
cliccare URL sconosciuti contenuti all'interno delle loro e-mail quando
queste vengano lette su Web.
Da un'analisi delle e-mail inviate tramite la Webmail di TiscaliNet,
Bochicchio ha potuto verificare che il prodotto utilizzato da Tiscali per la
gestione del suo sistema di posta on-line è VisualMail 3.0. Da una veloce
ricerca sul database di 
security-focus.com
 non sembrerebbe che questo
software soffra di un bug noto simile a quello descritto qui.
________________________________
Bug su Interfree webmail
Un bug simile è presente sulla webmail di interfree. Dopo essere entrato
nella mail box, c'è la possibilità di leggere in chiaro utente e password.
Basta scrivere, nel campo url di iexplorer, 'club' e magicamente apparirà
username e password.

 ha scritto nel messaggio
news:9f21iq$1qsl4$1...@ID-47271.news.dfncis.de...



 
 Maaa... ce l'hai con qualcuno?
 Con qualcuno in particolare? Perche' le *123* righe l'abbiamo scaricate
tutti...
 ciao
	pgg

 pgg
No, solo tu....
ghghghghgh
:))))) Adele

 ha scritto nel messaggio
news:eK5R6.12217$Uo3.4...@news6.giganews.com...

Centrata in pieno! 100 punti ;-)))
Brava Adel
--
Wuff
Le Bestioline (non puntate)
Sei Bestioline impigliate nella rete di IDAC
http://www.millenniumdogs.net/
http://photo.millenniumdogs.net/

Brava Adel
  Hai poco da complimentarti con la tua comare di quoting selvaggio...
 ride bene che ride ultimo... eheheh!    8-Ş~
  Vendetta! Tremenda vendetta!   >>8->
 	pgg

 azz...
(megasnip)
complimenti per il quote :o(
-- 
"hey white boy, what are you doing uptown?"
carlo/mrwhite

 complimenti per il quote :o(
Insensibile!!!
-- 
Esprit

 complimenti per il quote :o(
Associati a pgg che ne ha fatto meno un dramma.
A.

 ha scritto nel messaggio
news:mur9hto31ujngqnuf...@4ax.com...

Uuueeehehehheehhehheehhee ... scusami ... non vedo l'ora!!!     ;-)))


 Associati a pgg che ne ha fatto meno un dramma.
hai ragione. l'educazione non e' un dramma. neppure il rispetto per gli
altri lo e'.
