Luka w usłudze Xbox Live umożliwia hakerom wyświetlanie adresu e-mail dowolnego użytkownika

Poważna luka w Xbox Live podobno pozwoliła hakerom zobaczyć identyfikator e-mail każdego, kto korzystał z usługi. Według wielu badaczy cyberbezpieczeństwa, którzy twierdzili, że odkryli lukę i zgłosili ją firmie Microsoft. Luka została od tego czasu załatana po stronie serwera, a Microsoft wydał oświadczenie, w którym mówi, że użytkownicy nie muszą nic robić ze swojej strony, aby złagodzić problem.

Jednym z badaczy, którzy zgłosili problem firmie Microsoft, jest Joseph „Doc” Harris, który o tym powiedział ZDNet że błąd znajdował się w domenie „enforcement.xbox.com”, co umożliwia użytkownikom Xbox przeglądanie ostrzeżeń na ich profilu Xbox i składanie odwołań, jeśli uważają, że zostali niesprawiedliwie upomnieni.

Według Harrisa pliki cookie portalu zawierały niezaszyfrowane pole identyfikatora użytkownika Xbox (XUID), które umożliwia hakerom przeglądanie wiadomości e-mail innych użytkowników, zastępując po prostu wartość pliku cookie XUID XUID konta testowego, które utworzył do celów testowych. w ramach programu Xbox bounty. „Próbowałem zastąpić wartość pliku cookie i odświeżyć, ale nagle mogłem zobaczyć e-maile innych (użytkowników)”, Najwyraźniej powiedział blogowi w wywiadzie na początku tego tygodnia.

Jak już wspomniano, Microsoft wypuścił poprawkę szyfrującą XUID. W oficjalnym oświadczeniu firma podała, że ​​tak „Wydała aktualizację, aby pomóc chronić klientów”. Błąd nie był jednak objęty programem Xbox bounty bounty, co oznacza, że ​​Harris nie zebrał żadnej nagrody finansowej za swoje badania, chociaż Microsoft zgodził się umieścić go w swojej Galerii sław za Bug Bounty jako współtwórcę.