Kuriozalny problem z JWT w Outlook Web Access

Kuriozalny problem z JWT w Outlook Web Access

2021-01-04 13:24 Redakcja

Outlook Web Access (OWA) ujawnia niepokojące luki w bezpieczeństwie, które pozwoliły na nieautoryzowany dostęp do e-maili innych użytkowników. Mimo że problem ten został zgłoszony już w 2019 roku i załatany, wciąż ma znaczenie edukacyjne.

W pewnym momencie OWA generował token JWT, który nie był podpisany. To oznaczało, że każdy mógł uzyskać dostęp do e-maili innych osób, podmieniając OID (identyfikator obiektu). Co gorsza, OID był względnie "losowy", a jego zdobycie nie stanowiło problemu.

Badacz odkrył, że istniała funkcja API, która umożliwiała uzyskanie OIDów innych użytkowników. To stawia pytanie o bezpieczeństwo danych i ochronę prywatności w systemach e-mailowych.

Najnowsze wiadomosci ⚡📰

Nie przegap żadnego trendu, hacka ani dramy w świecie marketingu! 🧠
Mamy już ponad 155 000 artykułów i codziennie dorzucamy 50–100 nowych perełek z SEO, PR, social mediów, reklam, AI i brandingu. Do tego wywiady, nowe narzędzia pozwalające dowieźć wyniki i nutka prawa oraz bezpieczeństwa. Wszystko podane w starupowym sosie, który nigdy sie nie nudzi.
Zapisz się teraz, a Twoja skrzynka stanie się potężniejsza niż raporty z Analyticsa.