야후, 이메일 훔쳐볼 수 있는 취약점 발견

2016-12-12 14:37
방수호 前 기자 scavenger@bodnara.co.kr

야후(Yahoo!) 이메일 서비스에서 타인이 이메일을 훔쳐볼 수 있는 취약점이 있다는 소식이 전해졌다.

이번 취약점은 핀란드 보안기업 Klikki Oy의 연구원이 발견한 것으로, 야후의 XSS (Cross-Site Scripting) 취약점 때문에 사용자가 악성코드가 포함 된 이메일을 열기만 해도 감염 되고 그 시스템에서 해커가 피해자의 이메일을 확인할 수 있다.

야후 이메일 서비스에서 HTML 필터링 기능이 악성코드를 제대로 걸러내지 못하고 HTML 속성에서 자바(JAVA) 스크립트 용도로 각각의 앱 데이터를 저장하는데 그것이 공격 경로로 사용 된 것으로 추정 된다.

이번 취약점을 발견한 연구원은 AJAX (비동기식 자바 스크립트&XML)를 사용해서 이메일을 야후 계정으로 보내고 그 이메일을 열어본 상태에서 받은 편지함의 이메일들을 읽는 것과 공격자의 서버로 전송 가능한지 검증해보았다.

따라서 야후 서비스 사용자들은 대비책이 마련 되기 전까지는 낯선 이메일을 받으면 아예 삭제하는 것이 보안상 안전하다.

비회원

보드나라 많이 본 뉴스

보드나라 많이 본 기사

보드나라 최신 기사

[12/12] 당근, 경찰청 주최 ‘사기방지 국제 컨퍼런스’서 중고거래 사기 대응 전략 발표

[12/12] 넷마블, 신작 <몬길: STAR DIVE> 2차 CBT 모집.. 신규 스토리-캐릭터 첫선

[12/12] Razer와 함께 풍성한 한가위! 지마켓-옥션 빅세일 프로모션 참여

[12/12] 방수와 무소음에 레트로 스타일과 LCD로 기능 높인 지클릭커 WK50 사일런스 M RGB Retro 98키 출시

[12/12] 유니씨앤씨, 삼성 갤럭시북5 프로, 프로360, ‘추석 특선물’ LIVE 방송 통해 특별 혜택 제공

[12/12] ‘델 테크놀로지스 포럼 2025’, 혁신을 실행으로 옮기기 위한 데이터 중심의 AI 인프라 전략 소개

[12/12] 글로벌 MMO 신작 ‘Warborne Above Ashes’ 사전 다운로드 시작, 19일 정식 출시

[12/12] 오버워치 2 x 마음의 괴도단 콜라보레이션 오늘(17일) 시작!

[12/12] D-1! 컴투스 신작 ‘더 스타라이트’ 모바일 사전 다운로드 시작, 출시 이벤트 총 공개

[12/12] 기가바이트 플래그십 게이밍 노트북 ‘AORUS MASTER 18’ 지마켓 한가위 빅세일 참가

[12/12] 통화화면에 귀여운 메타몽 등장! 포켓몬코리아, 메타몽 V컬러링 출시!

[12/12] 라이엇 게임즈, 발로란트 리플레이 시스템 정식 도입

[12/12] 일부 SK하이닉스 DDR5 메모리에 신규 로우해머 취약점 '피닉스' 공개

[12/12] FSR4 INT8 소스코드 유출, 비공식 지원 그래픽 카드 적용 가능

[12/12] AV1보다 높은 효율과 품질 목표, AV2 코덱 규격 연말 발표 계획

[12/12] 서린씨앤아이, CPU와 전원부를 동시에 냉각하는 아틱 리퀴드 프리저 3 프로 3종 정식 출시

[12/12] 에이수스, 그래픽카드 · 메인보드 부문 ‘2025 올해의 브랜드 대상’ 수상

[12/12] 블리자드 디아블로 IV, 지옥불 혼돈의 시즌 9월 24일 시작

[12/12] 오라클, 자바 25 출시

[12/12] LG전자, 美 대형 건설사 ‘센추리 커뮤니티스’에 고효율·AI 가전 독점 공급