La vulnerabilità di Xbox Live ha consentito agli hacker di visualizzare l'indirizzo e-mail di qualsiasi utente

Secondo quanto riferito, una grave vulnerabilità in Xbox Live avrebbe consentito agli hacker di vedere l'ID di posta elettronica di chiunque avesse utilizzato il servizio. Questo è secondo diversi ricercatori di sicurezza informatica che hanno affermato di aver scoperto la scappatoia e l'hanno segnalata a Microsoft. Da allora la vulnerabilità è stata corretta lato server e Microsoft ha rilasciato una dichiarazione in cui afferma che gli utenti non devono fare nulla da parte loro per mitigare il problema.

Uno dei ricercatori che ha segnalato il problema a Microsoft è Joseph "Doc" Harris, che ha detto ZDNet che il bug si trovava nel dominio "enforcement.xbox.com", che consente agli utenti Xbox di visualizzare gli avvertimenti contro il proprio profilo Xbox e presentare ricorsi se ritengono di essere stati ingiustamente rimproverati.

Secondo Harris, i cookie del portale contenevano un campo ID utente Xbox (XUID) non crittografato, consentendo agli hacker di vedere le e-mail di altri utenti semplicemente sostituendo il valore del cookie XUID con lo XUID di un account di prova che aveva creato a scopo di test come parte del programma di ricompensa dei bug di Xbox. "Ho provato a sostituire il valore del cookie e ad aggiornare, e all'improvviso sono riuscito a vedere le email di altri (utenti)", a quanto pare ha detto al blog in un'intervista all'inizio di questa settimana.

Come già accennato, Microsoft ha implementato una patch per crittografare lo XUID. In una dichiarazione ufficiale, la società ha detto di sì "Rilasciato un aggiornamento per proteggere i clienti". Il bug, tuttavia, non è stato coperto dal programma di ricompensa dei bug di Xbox, il che significa che Harris non ha raccolto alcuna ricompensa finanziaria per la sua ricerca, sebbene Microsoft abbia accettato di includerlo nella sua Bug Bounty Hall of Fame come collaboratore.