Microsoft traci kontrolę nad kluczową subdomeną Windows Tiles

Wygląda na to, że Microsoft ma kontrolę nad kluczową subdomeną Windows Tiles, która umożliwia stronom internetowym wysyłanie danych do aktywnych kafelków. Przedmiotowa subdomena została po raz pierwszy skonfigurowana przez Microsoft do pracy z systemem Windows 8, a później została również rozszerzona na system Windows 10.

Subdomena jest częścią usługi buildmypinnedsite.com, którą firma Microsoft wdrożyła wraz z uruchomieniem systemu Windows 8. Subdomena została skonfigurowana w celu umożliwienia witrynom dodawania metadanych, dzięki czemu mogą one wysyłać dane z powrotem do listy przypiętych witryn Microsoft Edge na komputerze użytkownika. Jednak domena nie była w stanie obsłużyć żądań, dlatego firma Microsoft utworzyła subdomenę notifications.buildmypinnedsite.com, która konwertuje ich kanały RSS na specjalny format XML, który usługa Windows Tiles przeanalizuje i utworzy animowane kafelki.

Niestety serwis dzisiaj się zepsuł. Hanno Böcka (przez ZDNet) jest badaczem, który zauważył, że subdomena nie została zarejestrowana na platformie Azure. Widząc to, wszedł i zarejestrował subdomenę na swoim koncie Azure.

Host, który powinien dostarczyć pliki XML – notifications.buildmypinnedsite.com – pokazał się tylko komunikat o błędzie z usługi chmurowej Microsoft Azure. Host został przekierowany do poddomeny platformy Azure. Jednak ta subdomena nie została zarejestrowana na platformie Azure.

Powiadomił już Microsoft, ale nie otrzymał żadnej odpowiedzi od firmy. Powiedział, że nie może tego powstrzymać zbyt długo, ponieważ przytłaczający ruch na hoście zwiększa jego koszty utrzymania.

Nie będziemy utrzymywać hosta zarejestrowanego na stałe. Do tego hosta dociera przyzwoita ilość ruchu i koszty eksploatacji. Gdy usuniemy subdomenę, zły aktor może ją zarejestrować i nadużyć do złośliwych ataków.

Jeśli anuluje subdomenę, każdy haker może ją zarejestrować i zastosować inżynierię wsteczną metody tworzenia zniekształconych plików XML, które mogłyby nadużywać usługi Windows Live Tiles w celu uruchamiania kodu na komputerach użytkowników, którzy nadal mają oparte na witrynach internetowych Live Tiles na swoich stronach startowych /menu. hanno Böck obecnie zaleca witrynom usunięcie metatagu lub skorzystanie z bezpośredniego sposobu dostarczania informacji z pominięciem notifications.buildmypinnedsite.com.