三星的账户管理系统中发现了三个跨站点请求伪造漏洞

一位安全研究人员昨天告诉记者，黑客可能只是通过欺骗用户访问恶意链接来接管任何三星帐户。

该研究人员乌克兰臭虫赏金猎人Artem Moskowsky本月向三星报告此问题后，该漏洞现已得到修复。

这个三星帐户问题的核心是安全专家称之为跨站点请求伪造（CSRF）漏洞。用非专业术语解释，此漏洞允许攻击者欺骗用户的浏览器在用户当前登录的其他站点上执行隐藏命令，但是在攻击者的站点上。

Moskowsky告诉ZDNet他在三星的账户管理系统中发现了三个CSRF问题。

第一个允许攻击者更改配置文件详细信息，第二个允许攻击者禁用双因素身份验证，而第三个允许攻击者更改用户的帐户安全问题。

虽然这三个都是重要问题，但第三个问题本来可以用来接管帐户。 Moskowsky告诉ZDNet，攻击者可能欺骗用户访问可能改变用户安全问题和相应答案的恶意链接。

然后，攻击者可能尝试使用该用户的电子邮件地址登录用户的帐户，并启动依赖于现在受到污染的安全问题的密码恢复密码。使用新密码，攻击者可以访问用户的三星帐户。

为了更好地衡量，如果帐户使用双因素身份验证，则可以在用户访问恶意链接的同时禁用该身份验证。

访问Samsung帐户可以允许攻击者通过“查找我的设备”功能跟踪用户的移动，控制用户的互连智能设备，访问用户健康数据，访问私人笔记等。

对于他报告的三个漏洞，三星向研究人员颁发了13,300美元的奖励。上个月，该研究人员还为一个Steam漏洞收集了25,000美元的奖金，该漏洞可以让攻击者获得任何Steam游戏的任何CD密钥。