Gmail’dagi xato yangi fishing firibgarligini keltirib chiqardi

«Kimdan:» sarlavhasini qayta ishlashdagi zaiflik qabul qiluvchining manzilini soxtalashtirishga imkon beradi.

Dasturchi Tim Kotten Gmail’da elektron pochta mijozining “Kimdan:” sarlavhasini qanday ishlashi bilan bog‘liq qiziq bir xatoni aniqladi. Zaiflikdan foydalanib, tajovuzkor hech bo‘lmaganda jo‘natuvchi maydoniga ixtiyoriy manzilni joylashtirishi va kompaniya xodimidan kelgan xabarni yuborishi mumkin edi. Kotten xatoni o‘z kompaniyasida xodim o‘zining “Yuborilgan” papkasida o‘zi jo‘natmagan bir nechta xabarlarni topgan ishni tergov qilayotganda aniqladi. Chuqurroq qazib, dasturchi xabarlar boshqa birovning akkauntidan yuborilganini va avtomatik ravishda xodimning “Yuborilgan” papkasiga joylashtirilganini aniqladi. Ma’lum bo‘lishicha, “Kimdan:” maydonida ikkita manzil — jo‘natuvchi va oluvchining manzili bor ekan. Kottenning tushuntirishicha, qabul qiluvchining manzilini o‘z ichiga olgan “Kimdan:” maydonini qayta ishlashda Gmail xabar boshqa manzildan kelganiga qaramay, uni yuborilgan deb saralaydi. Mutaxassis Google’ga muammo haqida xabar berdi. Kompaniya xabarga javob bermadi, ammo keyingi safar u bir nechta manzillar bilan elektron pochta xabarini yuborishga urinayotganda, Gmail serveri xato xabarini qaytardi. Kotten sarlavha tuzilishini biroz o’zgartirdi va muammo hali ham davom etayotganini aniqladi. Uning so’zlariga ko’ra, tajovuzkor bundan zararli havolalarni kiritish uchun foydalanishi mumkin. Bundan tashqari, ishlab chiquvchining ta’kidlashicha, sarlavhaga istalgan elektron pochta manzili qo’shilishi va shu bilan haqiqiy jo’natuvchini yashirishi mumkin.

Xato haqidagi ma’lumotlarning e’lon qilinishi qizg’in muhokamalarga sabab bo’ldi va Gmail’dagi qabul qiluvchining elektron pochta manzillarini soxtalashtirishga imkon beradigan yana bir zaiflikka oydinlik kiritdi. Muammo Gmail’ning veb-versiyasida hal qilindi, ammo 19 oy o’tgach, u hali ham mijozning Android versiyasida muammo bo’lib qolmoqda.