افشای نام‌های کاربری در محصولات شرکت Splunk

شرکت Splunk یک سازمان چندملیتی است که به تولید نرم‌افزارهای جستجو، نظارت و تحلیل داده‌های کلان که توسط ماشین‌ها تولید می‌شوند می‌پردازد. این شرکت یک آسیب‌پذیری را در پیاده‌سازی جاوا اسکریپت خود وصله کرد که باعث نشت داده‌های کاربران می‌شد.

در مشاوره‌نامه‌ی این شرکت، این آسیب‌پذیری به‌طور کامل افشاء شده و عنوان شده این اشکال زمانی مورد بهره‌برداری قرار می‌گیرد که مهاجم بتواند یک کاربرِ احراز هویت‌شده را به بازدید از وب‌گاهی مخرب ترغیب کند.

در این نشت داده، تنها نام کاربری در معرض خطر قرار می‌گیرد ولی همین داده‌ها نیز کافی است تا مهاجم موج جدیدی از حملات فیشینگ را آغاز کرده و با ترفندهای مختلف گواهی‌نامه‌ی کاربران را به دست آورد. در مشاوره‌نامه گفته شده این آسیب‌پذیری از نحوه‌ی استفاده‌ی اشیاء در پرونده‌های جاوا اسکریپت ناشی می‌شود.

در ادامه می‌توانید کد اثبات مفهومی مربوط به این آسیب‌پذیری را که در مشاوره‌نامه آمده است، مشاهده کنید. در حال حاضر این آسیب‌پذیری در تمامی نسخه‌های آسیب‌پذیر این محصولات وصله شده است.

منبع: asis

درباره نماد امنیت وب

کانال اخبار فناوری اطلاعات نماد امن

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.