黑客可通过Paypal传输恶意图像

安全研究员Aditya K Sood发现贝宝用户设置的支付页面的URL中包含一个名为“image_url”的参数。这个参数的值可被指向一张托管在远程服务器上的图片URL所替 代。而这种情况能够允许攻击者使用第三方厂商的贝宝支付页面传播恶意图像。Sood通过在厂商支付页面上展示任意图像的方法证明了该漏洞的存在，不过他认 为攻击者可能会传播隐藏在图像中的恶意软件或利用。

网络犯罪分子一直都使用看起来无害的图像文件隐藏恶意软件。这种技术曾被Lurk下载器、Neverquest恶意软件、Stegoloader信息窃取器以及一个最近由卡巴斯基分析的巴西木马的开发人员使用过。

Sood指出，“这是一种不安全的设计，因为贝宝允许远程用户将属于自己的图像注入到贝宝用于客户交易的组件中。也就是说，攻击者能否通过图像传播恶意软件或利用？答案是肯定的。一些利用技术可实现这一目的。”

攻击者能够通过让未经验证的用户点击特殊编制的链接的方式利用这个漏洞。URL被托管在paypal.com上的事实增加了受害者打开链接的可能性。

这个漏洞于1月份上报给了贝宝，不过在这个月才被修复。贝宝公司起初表示这个报告不具备获取漏洞奖励的资格，不过随后公司决定修复这一漏洞并为Sood颁发了1000美元的奖励。

Sood认为这是一个高风险问题，而且他对贝宝公司不同意他的评估而不满。贝宝回应称，Sood描述的攻击场景不可能发生，因为传播恶意软件有更加简便的方法，此外表示公司正在积极扫描恶意内容。
本文转自d1net（转载）