Уязвимость в Slack позволяла перехватывать контроль над аккаунтами

Разработчики корпоративного мессенджера Slack исправили уязвимость в системе безопасности, эксплуатация которой позволяла злоумышленникам путем атаки типа HTTP Request Smuggling похитить cookie-файлы и автоматизировать перехват произвольных учетных записей.

По словам эксперта Эвана Кустодио (Evan Custodio), обнаружившего уязвимость, проблема была «чрезвычайно критичной» как для Slack, так и для всех клиентов и организаций платформы, которые обмениваются личными данными, каналами и разговорами.

Эксплуатация уязвимости могла позволить злоумышленникам создавать автоматические боты, которые бы непрерывно атаковали уязвимый актив Slack, перехватывали сеанс жертвы и похищали все доступные данные.

Кустодио сообщил об обнаруженной уязвимости в рамках программы Slack Hacker.

Команда Slack исправила уязвимость в течение 24 часов и наградила Кустодио премией в размере $6 500.Slack представляет собой популярный корпоративный мессенджер.

Он собирает в одном окне обсуждения в общих темах (каналах), приватных группах и личных сообщениях; имеет собственный хостинг, режим превью для изображений и позволяет искать среди всех сообщений сразу.

Chimp Heroku, Jirа и пр.