- フォンアンドロイド.com
- 電話
- アプリケーション
- Gmail: 重大な欠陥により、ハッカーが任意のユーザーになりすますことが可能になりました
セキュリティ研究者は、Gmail サーバーに数か月間影響を与えていた重大な欠陥を明らかにしました。これにより、ハッカーはあらゆるアカウントのアドレスを使ってなりすましメールを送信することができました。
その間Gmail ユーザーは数時間サービスを使用するのに苦労した昨日、Google は同時に、世界規模のサービス停止とは関係のない重大な脆弱性を修正しました。セキュリティ研究者のアリソン・フセイン氏によると、4月以来この欠陥を発見してGoogleに報告していたという。ハッカーが Gmail アカウントになりすますことを許可しましたこの種の攻撃からユーザーを保護するセキュリティ プロトコルをバイパスしながら、または G Suite を攻撃します。
この Gmail の欠陥は何ですか?
セキュリティ プロトコルを使用すると、ドメイン オペレータはドメイン名を特定の IP アドレスに関連付けることができます。これにより、受信メール サーバーは、送信サーバーの IP を許可された IP のリストと比較することで、アドレス スプーフィングの試みを検出できるようになります。送信者の IP アドレスがリストされていない場合、メール サーバーがメッセージを拒否し、不正な電子メールがユーザーの受信箱に届くのを防ぐことができます。
ドメイン認証はセキュリティ標準によって保証されますSPF (送信者ポリシーフレームワーク)などDMARC (ドメインベースのメッセージ認証、レポートおよび適合性)。研究者が発表した概念実証これは、Gmail と G Suite の検証ルールの欠陥を悪用して、Google バックエンドからなりすましメールを送信し、受信者のメール サーバーに認証させることで、これらのプロトコルを回避できる方法を示しています。
«さらに、メッセージは Google のバックエンドから送信されているため、スパム スコアがさらに低くなり、フィルタリングされるレベルもさらに低くなる可能性があります。»、Allison Husain 氏が追加し、2 つの脆弱性は Google のみに特有であると述べています。
Google は 4 か月以上後に修正プログラムを展開しました
研究者によると、彼女は4月にこのバグをGoogleに報告したが、理由は不明だが、同社は8月19日の報告書の公開から数時間後まで修正プログラムを展開しなかったという。ただし、これは重大な欠陥であり、攻撃者やスパマーが被害者に有害な結果をもたらす詐欺キャンペーンを実行するために悪用される可能性があります。 Google の緩和策はサーバー側に展開されたため、Gmail および G Suite クライアントは自分自身を保護するために何もする必要がありません。
