雅虎为 Flickr 帐户劫持漏洞猎手授予 7,000 美元赏金
雅虎为 Flickr 帐户劫持漏洞猎手 Michael Reizelman 授予 7,000 美元赏金。
Reizelman 是一位颇受欢迎的漏洞猎手，善于挖掘 Badoo、Dropbox、GitHub、Google、Imgur、Slack、Twitter 与 Uber 等多种 *** 服务漏洞。他在不久前发现，如果将存在于雅虎图像与视频托管服务的三个漏洞配合使用可成功接管 Flickr 帐户。
Reizelman 发现用户每次登录 Flickr.com 帐户都会被重定向至 login.yahoo.com 域进行身份验证。如果用户已登录，就会在后台被重定向至 login.yahoo.com。此外，login.yahoo.com 请求用于获取用户访问令牌。
据悉，Reizelman 最初在 flickr.com 搜索开放式重定向漏洞并加以利用，但以失败告终。随后，他设计出另一种漏洞利用 *** ，即通过使用 <img> 标签将受攻击者控制的服务器存储图像文件嵌入 Flickr.com 页面。调查表明，黑客在攻击过程中必须诱导用户点击特制链接以获取访问令牌并接管受害者 Flickr 帐户。
Reizelman 于 4 月 2 日发现与报告该漏洞，并因此获取 7,000 美元赏金。据悉，雅虎公司通过 HackerOne 执行漏洞赏金计划。
原作者：Pierluigi Paganini， 译者：青楚，译审：游弋
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“雅虎为 Flickr 帐户劫持漏洞猎手授予 7,000 美元赏金” 的相关文章
研究人员谈论潜在的没有性能成本的 CPU 安全漏洞缓解措施
一位安全研究员在上周末的自由和开源软件开发者欧洲会议（FOSDEM）上围绕缓解像Spectre和Meltdown这样的处理器漏洞发表演讲，所提出的方式力求让性能成本可以忽略不计。 Cyberus科技公司的Sebastian Eydam在2022年FOSDEM会议上发言，谈到有可能在几乎没有性能成本...
Okta 结束 Lapsus$ 黑客事件调查：攻击持续25分钟 仅两个客户受到影响
在被黑客组织 Lapsus$ 入侵三个月后，身份验证平台 Okta 终于在周二的一篇博客文章中，分享了正式版的内部调查报告。公司首席安全官 David Bradbury 指出：在攻击发生后不久，他们就已经就获知了相关细节。不过随着分析的深入，他们进一步收缩了早期评估的潜在影响范围。 Bradbur...
据称黑客泄露了多达 37GB 的来自微软的源代码
据称，一个黑客组织泄露了微软37GB的源代码，这些代码与包括Bing和Cortana在内的数百个项目有关，这是一系列重大网络安全事件中的最新一起。Lapsus$黑客组织在周一晚上公开发布了一个9GB的压缩文件。据称，该7zip档案包含了从微软获得的250多个内部项目。 据称这些数据来自微软的Az...
QNAP 修复了关键的 QVR 远程命令执行漏洞
近期，QNAP发布了几项安全公告，其中一项针对严重的安全问题，该问题允许在易受攻击的QVR系统上远程执行任意命令，该公司的视频监控解决方案托管在NAS设备上。QVR IP视频监控系统支持多重频道和跨平台视频解码，专为监控家庭和办公环境而设计。该漏洞编号为CVE-2022-27588，严重程度得分为...
黑客利用恶意软件 Tardigrade 攻击生物制造设施
Hackernews编译，转载请注明出处： 今年，借助一个叫做 Tardigrade 的恶意软件装载器，一个 APT攻击了 两家生物制造公司。 生物经济信息共享与分析中心(BIO-ISAC)发布了一份公告，其中指出，恶意软件正在整个行业中广泛传播，它们的目的可能是盗窃知识产权，保证持续性，并用勒索...
Google Play 商店被发现伪装称杀毒工具的窃密恶意软件 已被下载数千次
考虑到有那么多受恶意软件感染的程序溜进Play Store，人们开始觉得Google在警告人们侧载应用程序的危险时是在浪费口水。在发现一些伪装成杀毒应用的窃取登录凭证恶意软件后，它们中间的六个被发现并删除。 Check Point安全研究人员说，Google从其商店中删除这六个应用程序之前，它们已...
评论列表
发表评论
