Libero.it, nessuna pericolosa vulnerabilità

Dopo la pubblicazione sulla lista BugTraq di SecurityFocus del resoconto di una vulnerabilità XSS a carico di Libero.it si è sparsa tra gli utenti una certa inquietudine.

Nel documento trasmesso dal bug hunter Rosario Valotta, infatti, si spiega come la funzionalità messa a disposizione degli utenti per aggiungere nomi nella propria buddy list “consente l’inserimento di codice malevolo nella URL, così che un aggressore può sottrarre nome utente e password della vittima che accede sfruttando il proprio cookie”. Questo exploit, spiega l’esperto, consente di accedere ad un nome utente in chiaro e ad una password cifrata con l’algoritmo MD5 che, composta normalmente da 5 o 6 caratteri, sarebbe decifrabile sfruttando il metodo md5-rainbowtables.

Punto Informatico ha sottoposto il problema a Libero.it i cui tecnici hanno spiegato, però, che se il procedimento descritto da Valotta è effettivamente utilizzabile per individuare il nome utente, altrettanto non vale per quanto riguarda la password (che dà accesso ai servizi di community e alla web email).

“Non è vero – spiega Libero a PI – che la stringa codificata in MD5 contenga la password. Se anche la stringa venisse decodificata, non si otterrebbe la password, né altri strumenti utili per accedere in qualsiasi modo agli account”. Il che non deve sorprendere: la password può essere infatti ritoccata con strumenti ad hoc prima della cifratura vera e propria, rendendo quindi inutilizzabile l’eventuale dato decifrato. Per ricostruire dall’informazione decodificata la password vera e propria, spiega Libero, occorrerebbe avvalersi di strumenti proprietari predisposti dal portale e disponibili esclusivamente per i propri tecnici.

“Nel cookie – sottolinea Libero – c’è solo una mistura di dati che serve a noi per offrire il servizio”, e nessun’altra informazione utile.

Libero ha anche sottolineato di ritenere utile e preziosa l’informazione offerta dai bug hunter e sembra intenzionata a rispondere allo stesso Valotta direttamente su BugTraq.