Un investigador informático descubrió una falla que afectaba al servicio de mensajería colaborativa Slack, que permitía el acceso total a las cuentas y los mensajes de los usuarios.
El investigador, Frans Rosén, notó que Slack adolecía de algunas vulnerabilidades que podrían darle acceso a las cuentas y a los mensajes de los usuarios, de manera que elaboró un mecanismo para comprobar su suposición. Rosen diseño un exploit en una página maliciosa diseñada por él, para que una conexión de Slack se pudiera reconectar a su servidor. Con esto, podía robarse el distintivo privado con el que un usuario se conecta al servicio. En el artículo donde describe el procedimiento, Rosen indica que al hacer esto, habría tenido acceso total a la cuenta del usuario.
Rosén detectó inicialmente que podía manipular funciones como las notificaciones del navegador y el cambio de conversaciones. También descubrió fallas que le permitían interceptar mensajes y dejar repiques a los usuarios. Pero estas eran incidencias menores.
Ahora, el exploit diseñado por Rosén llegaba más allá, al permitirle robar los distintivos. Para esto, la víctima debía hacer clic en el enlace malicioso. Al hacerlo, dicha página iniciaba una llamada en Slack, con la que se establecía una nueva conexión del servicio a través de un WebSocket. Esta conexión se interrumpía, y se hacía apuntar al servidor malicioso del atacante.
Rosén publicó el artículo sobre la vulnerabilidad y el posible escenario de robo de distintivos, y la compañía tomó acción de inmediato, remediando el problema en unas cinco horas. Ya la vulnerabilidad no existe, ya que Slack verifica que las llamadas entrantes sean de un origen autenticado antes de recibirlas. Además, la compañía recompensó a Rosén con 3000 dólares por descubrir el problema, mientras anunciaba que ningún atacante real había aprovechado la vulnerabilidad para robar cuentas de usuarios.
