El investigador en seguridad que identificó una vulnerabilidad crítica en el sitio web de eBay la semana pasada publicó información sobre una segunda vulnerabilidad que aún no ha sido corregida por la compañía. Ésta podría ser usada para secuestrar cuentas de usuarios.

Jordan Lee Jones, estudiante universitario de 19 años del Reino Unido, publicó en su blog que el viernes pasado informó a eBay sobre la vulnerabilidad. Debido a que la compañía no había solucionado el problema, la semana pasada compartió los detalles sobre la falla.

Jones y otros investigadores han puesto mucha atención en la infraestructura tecnológica de eBay a raíz de que se dio a conocer que algunos atacantes lograron acceder a la base de datos para robar información de los usuarios.

Jones identificó una falla que permite realizar ataques cross-site scripting (XSS), en la cual código externo es ejecutado en un sitio web. De acuerdo al investigador, la falla permitiría a un atacante robar cookies de usuarios que han iniciado sesión en el sitio web de eBay, enviándolas por correo electrónico al atacante.

Una cookie es un archivo con información almacenado en el navegador que contiene información útil para un sitio web, por ejemplo si un usuario ha iniciado sesión. Las cookies pueden ser borradas del navegador o expirar, sin embargo, si un atacante consigue una cookie válida podría tener acceso al sitio web usando la cuenta de la persona atacada.

El ataque XSS también podría ser inyectado en la página de una subasta y afectaría a cualquiera que visite esa publicación.

Jones demostró como la falla puede ser explotada directamente en el sitio de eBay al desplegar un mensaje emergente.

EBay, como la mayoría de las compañías, solicita a los investigadores que no publiquen los resultados de su investigación sino hasta que se corrijan las fallas en los sistemas afectados, ésta es una política conocida como "revelación responsable". En los lineamientos para investigadores, eBay establece: "Tomamos muy enserio la seguridad de nuestros clientes, sin embargo algunas vulnerabilidades toman más tiempo en resolverse que otras."

La primera vulnerabilidad que Jones notificó a eBay permitía la carga de shellcode directamente a los servidores de la compañía, haciendo posible modificar el sitio web de eBay, descargar bases de datos, entre otras acciones. Esta falla ya fue corregida por el sitio de subastas en línea.