کشف آسیب پذیری SQL، نشانه بی اهمیتی یاهو به امنیت

محقق امنیتی Ebrahim Hegazy در حال آنالیز لینک innovationjockeys.yahoo.net بود که با بررسی درخواست های ارسالی توانست حمله SQL Injection را انجام دهد. بعد از انجام موفقیت آمیز حمله، او توانست حساب کاربری ادمین را از پایگاه داده به دست آورد. داده ها در پایگاه داده با الگوریتم Base64 رمزنگاری شده بود.

Ebrahim Hegazy با استفاده حساب کاربری ادمین، توانست به پنل ادمین وارد شود. پنل ادمین در آدرس innovationjockeys.yahoo.net/admin/ بود.

بعد از ورود، این محقق امنیتی اطلاعات جالبی را به دست آورد. از جمله اینکه کرنل سرور یاهو از سال 2012 به بعد به روز نشده است!

این آسیب پذیری توسط یاهو وصله شد، اما سوالی که یاهو باید جواب دهد این است که چرا سرور خود را هنوز به روز نکرده است؟! چرا یاهو هیچ اهمیتی به بروز رسانی خود نداده است؟ آیا وصله های امنیتی بی ارزش هستند که یاهو از آن ها استفاده نمی کند؟