Falha de segurança no WebMail do Terra




Recebi hoje uma mensagem sobre uma GRAVE falha de segurança no webmail do Terra. Através da falha é possível ter acesso ao webmail da pessoa que enviou o email.

Funciona assim. Alguém com conta no Terra manda uma mensagem com uma imagem no corpo. Por algum motivo a imagem não carrega e você pede para carregar a imagem através do botão direito. Neste momento a página carregada passa a ser do webmail da pessoa que te enviou a mensagem e não a imagem.

Você passa a ter acesso a todas as mensagens e pode enviar emails sem qualquer pedido de senha. O que não dá para fazer é entrar na página de configurações da conta, mas é possível vasculhar todos os contatos e pastas de mensagens. Opções do webmail também são acessíveis. Imagino que se você tiver a ID de outras contas de email do Terra o acesso também funcione, porém isto extrapola minha capacidade de hacker, e por isso não consegui testar. FUNCIONA!

Eu testei na minha máquina assim. A pessoa que recebeu em sua conta no GMAIL uma mensagem com imagem de uma conta do TERRA. Esta pessoa me encaminhou a mensagem e eu mandei ver a imagem que não carregava no GMAIL. A página do GMAIL deveria ficar aberta e a imagem carregada em outra, porém a página do GMAIL foi substituída pela página do TERRA para escrever uma nova mensagem! Apenas uma mensagem de erro aparece: “Não foi possível completar a operação: Registro não encontrado”.

Não sei se o problema é generalizado ou não, mas uma coisa é certa. Se você puder evitar de mandar imagens da sua conta no Terra, faça-o. Afinal, nem clicando em SAIR a falha é sanada. Tentei ver mensagens antigas que eu tinha de pessoas do Terra e a falha não funcionou. Não posso publicar a URL que usei por que seria sacanagem com o dono da conta. E eu fiquei pasmo de ver a falha acontecer bem na minha máquina na frente dos meus olhos.

Aliás, alguém conhece alguém que trabalha no Terra?

ATUALIZADO: Conversando com outro amigo por email consegui uma ID de uma conta do Terra para testar e pimba! Tive acesso a conta da pessoa. AGORA ESTOU COM MAIS MEDO AINDA. Sabendo a ID e a URL é só entrar e fazer a festa. CARACA MALUCO!!!

ATUALIZADO 2: Deixando claro: O problema não parece ser apenas no envio de mensagens com imagens em anexo. Basta ter a URL ou a ID de uma conta do Terra para ter acesso ao webmail. Fiz os testes de acesso no dia 4 entre 22 h e 1 da manhã do dia 5/10

ATUALIZADO 3: Recebi a dica do Diego, da Casa do Galo. Ele recebeu a mensagem de um parente e ao solicitar o carregamento da imagem teve acesso a caixa de mensagem do cara.

ATUALIZADO 4: A falha parece que foi corrigida. Tanto a falha pela imagem, quanto o acesso direto pela URL + ID apresentam a mensagem correta de falha de sessão.




Próximo Artigo

Leia Também


Deixe um comentário

13 Comentários

  1. Deu medo, muito medo. E olha que não sou usuária do Terra.
    Não era o caso de avisar o povo lá?
    bj

    Responder
  2. Felizmente quando eu acessava o Terra não usava o e-mail. Isso me lembra da velha falha do hotmail (que ainda funciona) que basta a pessoa não ter deslogado da conta para você acessar através de qualquer computador.

    PS: 10 menos 1 e 10? O_O

    Responder
  3. Se até uns dos melhores Webmail do mundo tem falha de segurança, imagine o Webmail do Terra. 😀 Já tem um tempo que não utilizo os Webmails que tinha no iG, Terra etc…

    Responder
  4. É meu caro,

    O negócio é bastante sério mesmo!

    Responder
  5. Tá certo que conseguir a ID de uma conta é muito dificil. Adivinhar pode ser quase impossível, mas quem sabe, um micro compartilhado, buscar no histórico a URL de webmail e voilá. No GMail o esquema de apenas copiar a URL para acessar de outro micro não funciona. Será que se copiar a URL de outros webmails também acontece a mesma coisa que no Terra? Precisamos de contas na globo.com, ig, UOL…

    Responder
  6. Não funciona. O comportamento do webmail do IG é o que eu esperaria do Terra, mas por algum motivo o Terra não reconhece uma sessão expirada, mensagem que recebo do link que você publicou.

    Responder
  7. Hahaha! Que vergonha alheia eu sinto cara.. há uns dois meses cancelei o terra só pra meu pai e minha irmã pararem de usar o webmail deles..

    Responder
  8. Me ajude

     /  05/10/2007

    @Pedro Villalobos

    Que falha é esse da hotmail??

    E aqui, mandem uma url aí do terra pra eu [igual criança pidona]testar também[/igual criança pidona].
    Grato desde..

    Responder
  9. Pessoal, agora a pouco (13 h) testei e a falha parece que foi corrigida: Recebo a mensagem “Não foi possível completar a operação: Arquivo de sessão expirado. Por favor, refaça o seu login.”

    Responder
  10. Pelo menos eles leram o seu post Berna. 😛

    Responder
  11. será? SERÁ?

    Responder
  1. Outubro é o mes das bruxas para o Terra | bernabauer.com

Deixe uma resposta

%d blogueiros gostam disto: