Microsoft заделала еще одну дыру в системе Passport

[georgebukki]

Корпорация Microsoft сообщила о том, что ликвидировала еще одну опасную уязвимость в своей системе онлайновой аутентификации Passport. Используя дыру, злоумышленники могли захватить контроль над учетными записями, зарегистрированными в Passport более четырех лет назад. Хотя для большинства пользователей Passport дыра оказалась неопасной, она вызвала достаточно большую озабоченность как в самой Microsoft, так и среди экспертов по безопасности.

О существовании дыры в Microsoft узнали, после того как некто, называющий себя Виктором Мануэлем Альваресом Кастро, компьютерным консультантом из Мексики, опубликовал информацию о дыре на одном из специализированных форумов в интернете. Такой способ информирования об уязвимостях, когда авторы дырявых систем узнают о них одновременно со всем интернет-сообществом очень не нравится крупным компаниям. Однако Кастро утверждает, что прежде чем публиковать сообщение об уязвимости в интернете, он несколько раз безуспешно пытался связаться с Microsoft по электронной почте.

По словам старшего менеджера Microsoft Джеффа Джонса, Microsoft оперативно отреагировала на появление информации о дыре в Passport и вскоре ликвидировала ее. Побочным эффектом этого стало то, что в понедельник, во время проведения работ некоторые пользователи потряли возможность менять пароли вручную. Сейчас функциональность Passport восстановлена в полном объеме. Необходимо отметить, что совсем недавно - в мае нынешнего года - в Passport была найдена другая опасная дыра, позволявшая хакеру захватить учетную запись любого пользователя системы, набрав в браузере единственную строчку, содержащую ряд команд.