Falha de segurança no WebMail do Terra

Recebi hoje uma mensagem sobre uma GRAVE falha de segurança no webmail do Terra. Através da falha é possível ter acesso ao webmail da pessoa que enviou o email.

Funciona assim. Alguém com conta no Terra manda uma mensagem com uma imagem no corpo. Por algum motivo a imagem não carrega e você pede para carregar a imagem através do botão direito. Neste momento a página carregada passa a ser do webmail da pessoa que te enviou a mensagem e não a imagem.

Você passa a ter acesso a todas as mensagens e pode enviar emails sem qualquer pedido de senha. O que não dá para fazer é entrar na página de configurações da conta, mas é possível vasculhar todos os contatos e pastas de mensagens. Opções do webmail também são acessíveis. Imagino que se você tiver a ID de outras contas de email do Terra o acesso também funcione, porém isto extrapola minha capacidade de hacker, e por isso não consegui testar. FUNCIONA!

Eu testei na minha máquina assim. A pessoa que recebeu em sua conta no GMAIL uma mensagem com imagem de uma conta do TERRA. Esta pessoa me encaminhou a mensagem e eu mandei ver a imagem que não carregava no GMAIL. A página do GMAIL deveria ficar aberta e a imagem carregada em outra, porém a página do GMAIL foi substituída pela página do TERRA para escrever uma nova mensagem! Apenas uma mensagem de erro aparece: “Não foi possível completar a operação: Registro não encontrado”.

Não sei se o problema é generalizado ou não, mas uma coisa é certa. Se você puder evitar de mandar imagens da sua conta no Terra, faça-o. Afinal, nem clicando em SAIR a falha é sanada. Tentei ver mensagens antigas que eu tinha de pessoas do Terra e a falha não funcionou. Não posso publicar a URL que usei por que seria sacanagem com o dono da conta. E eu fiquei pasmo de ver a falha acontecer bem na minha máquina na frente dos meus olhos.

Aliás, alguém conhece alguém que trabalha no Terra?

ATUALIZADO: Conversando com outro amigo por email consegui uma ID de uma conta do Terra para testar e pimba! Tive acesso a conta da pessoa. AGORA ESTOU COM MAIS MEDO AINDA. Sabendo a ID e a URL é só entrar e fazer a festa. CARACA MALUCO!!!

ATUALIZADO 2: Deixando claro: O problema não parece ser apenas no envio de mensagens com imagens em anexo. Basta ter a URL ou a ID de uma conta do Terra para ter acesso ao webmail. Fiz os testes de acesso no dia 4 entre 22 h e 1 da manhã do dia 5/10

ATUALIZADO 3: Recebi a dica do Diego, da Casa do Galo. Ele recebeu a mensagem de um parente e ao solicitar o carregamento da imagem teve acesso a caixa de mensagem do cara.

ATUALIZADO 4: A falha parece que foi corrigida. Tanto a falha pela imagem, quanto o acesso direto pela URL + ID apresentam a mensagem correta de falha de sessão.


Publicado

em

por

Tags:

Comentários

13 respostas para “Falha de segurança no WebMail do Terra”

  1. Avatar de Lucia Freitas

    Deu medo, muito medo. E olha que não sou usuária do Terra.
    Não era o caso de avisar o povo lá?
    bj

  2. Avatar de Pedro Villalobos

    Felizmente quando eu acessava o Terra não usava o e-mail. Isso me lembra da velha falha do hotmail (que ainda funciona) que basta a pessoa não ter deslogado da conta para você acessar através de qualquer computador.

    PS: 10 menos 1 e 10? O_O

  3. Avatar de Tiago Celestino

    Se até uns dos melhores Webmail do mundo tem falha de segurança, imagine o Webmail do Terra. 😀 Já tem um tempo que não utilizo os Webmails que tinha no iG, Terra etc…

  4. Avatar de Diego

    É meu caro,

    O negócio é bastante sério mesmo!

  5. Avatar de bernabauer

    Tá certo que conseguir a ID de uma conta é muito dificil. Adivinhar pode ser quase impossível, mas quem sabe, um micro compartilhado, buscar no histórico a URL de webmail e voilá. No GMail o esquema de apenas copiar a URL para acessar de outro micro não funciona. Será que se copiar a URL de outros webmails também acontece a mesma coisa que no Terra? Precisamos de contas na globo.com, ig, UOL…

  6. Avatar de bernabauer

    Não funciona. O comportamento do webmail do IG é o que eu esperaria do Terra, mas por algum motivo o Terra não reconhece uma sessão expirada, mensagem que recebo do link que você publicou.

  7. Avatar de osny

    Hahaha! Que vergonha alheia eu sinto cara.. há uns dois meses cancelei o terra só pra meu pai e minha irmã pararem de usar o webmail deles..

  8. Avatar de Me ajude
    Me ajude

    @Pedro Villalobos

    Que falha é esse da hotmail??

    E aqui, mandem uma url aí do terra pra eu [igual criança pidona]testar também[/igual criança pidona].
    Grato desde..

  9. Avatar de bernabauer

    Pessoal, agora a pouco (13 h) testei e a falha parece que foi corrigida: Recebo a mensagem “Não foi possível completar a operação: Arquivo de sessão expirado. Por favor, refaça o seu login.”

  10. Avatar de Tiago Celestino

    Pelo menos eles leram o seu post Berna. 😛

  11. […] inacreditável. No ano passado relatei que o webmail do Terra tinha algum tipo de problema que permitia o acesso de qualquer um a caixa de […]

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *