eBay reconoce un grave fallo de seguridad, pero no lo solucionará

   MADRID, 4 Feb. (Portaltic) -

eBay no tiene intención de solucionar una vulnerabilidad "grave" que permite a los atacantes distribuir código malicioso y páginas de phishing en las publicaciones de su web. Investigadores de la empresa de seguridad Check Point Software informaron a la compañía de este fallo de seguridad a mediados de diciembre, pero eBay les aseguró el 16 de enero que no tenían planes para solucionarlo.

   Este código malicioso se podría ejecutar tanto en dispositivos de escritorio como en los móviles de los usuarios. "Un atacante podría apuntar a los usuarios de eBay, enviando una página legítima que contenga código malicioso. Los clientes pueden ser engañados al abrir la página, y el código se ejecutaría por el navegador del usuario o la aplicación móvil, llevando a múltiples escenarios que van desde phishing hasta descargas binarias.", han explicado desde Check Point.

   La vulnerabilidad permite a los atacantes eludir una restricción clave que evita que las publicaciones de los usuarios inserten código JavaScript, según informa Ars Technica. Los hackers utilizan una técnica de codificación altamente especializada, conocida como JSFUCK, para saltarse cualquier sistema de prevención.

   En un correo electrónico enviado a Ars Technica tras conocerse la noticia, eBay asegura que la compañía “se compromete a proporcionar un mercado seguro para nuestros millones de clientes en todo el mundo. Nos tomamos los informes sobre problemas de seguridad muy en serio y trabajamos con rapidez para evaluarlos en el contexto de toda nuestra infraestructura de seguridad. No hemos encontrado ninguna actividad fraudulenta derivada de este incidente".