Una nueva vulnerabilidad descubierta en la funcionalidad de 'Autocompletar' o 'Auto fill' puede permitir el robo de datos por parte de terceros.
Esta funcionalidad proporciona que otros sitios web puedan permitir a los usuarios de LinkedIn completar rápidamente los datos del perfil, incluyendo información sensible como nombre completo, número de teléfono. dirección de correo electrónico, código postal y empresa.
Recientemente el investigador de seguridad Jack Cable de 'Lightning Security' descubrió que podía no ser así. Descubrió que esta funcionalidad estaba plagada de vulnerabilidades que permitiría a cualquier sitio web obtener los datos del perfil del usuario sin que el usuario se diera cuenta.
Un atacante puede hacer que la funcionalidad autocompletar en su sitio web cambiando algunas propiedades como la de extender esta funcionalidad a través de todo el sitio web para posteriormente hacerlo invisible, en el momento en el que el usuario haga click en cualquier parte de la web desencadenaría la ejecución de esta función y el envío de los datos albergados en la funcionalidad.
La vulnerabilidad fue reportada e inmediatamente la compañía emitió una solución temporal a este posible ataque. La corrección restringe el uso de la función autocompletar a los sitios incluidos en la 'white list' o lista blanca.
El mismo investigador ha subrayado que el parche está incompleto y que aún permitiría usar esta característica por los dominios incluidos en la lista blanca. Por lo tanto, si cualquiera de estos sitios se viera comprometido, podría hacerse uso de este ataque.
Por parte de LinkedIn ya han lanzado el parche completo, en un comunicado por parte de la entidad aclaran lo sucedido.
Más información:
