Gmail 或許是很多人每日也會用來收發郵件的工具,不過有一個可被人用來冒名發出郵件的漏洞,令用戶增加了接收欺詐郵件或者商業電子詐騙郵件的風險。在資訊安全人員向 Google 通報了 137 天後,官方終於推出修補程式。
這次修復了一個發生在 Google 後端郵件流程規則上的漏洞,這個漏洞能夠構成嚴重的冒名轉發問題,只要配合郵件閘道使用,便能幫助攻擊者得以繞過現代郵件系統嚴格的 SPF / DMARC 規則保護,冒充 G suite / Gmail 用戶發送冒名郵件給他人。
而是次漏洞是由研究人員 Allison Husain 發現,並在 4 月初發現後立即通報 Google。但該名研究人員指在 8 月 1 日仍不見 Google 修補的跡象,其後 Google 在 8 月中表示,要到 9 月 17 日才會釋出修補程式。研究人員於 8 月 19 日以超過通知 Google 日期 137 天為由向公開漏洞,而在漏洞被公開後 7 小時 Google 即完成修補。
SPF ( Sender Policy Framework ) 和 DMARC ( Domain-based Message Authentication, Reporting, and Conformance ) 規則可以防止普通冒名郵件。原理是將一組網域許可的發送者 IP 清單交給郵件伺服器比對,不在清單上的 IP 送出的郵件,包括冒名或釣魚郵件就不會被郵件伺服器接收,而合法來源送來的便會被接受。
但由於今次研究人員發現的漏洞是根據 Google 後端郵件流程規則而產生的,因此是 Google 伺服器獨有的問題。但既然已經釋出修補程式,事件亦已告一段落,大家不用太擔心。
資料來源 : Ezhes Blog
相關文章:
Google 被指強制網紅讚賞其產品 否則不能在發售前評測產品 【教學】Perplexity 搜尋引擎結合 AI 免VPN + 好用程度可挑戰 Google 搜尋 Google 超大規模數據中心 計劃落戶越南 2027 年投入服務
分享到 :
最新影片
![](https://cdn.unwire.hk/wp-content/uploads/2024/09/iphone16_d_web2-694x390.jpg)