RuonorY 

Pues creo que sería buena idea que le comunicaras esto a Google y a Bloglines, piensa que esto mismo podrían descubrirlo usuarios malintencionados (como dice Microsoft) y entonces las consecuencias podrían ser peores, yo tengo información importante en mi cuenta.

Gracias por el aviso ;)

NetDancer 

Si estoy en lo correcto, tus mails no estarán expuestos, a no ser que agregues tu feed a Bloglines. Sí que debería avisar, pero quiero imaginar que alguien lo habrá hecho ya, y por otra parte, insisto en que no estoy completamente seguro. Ya veremos, ya.

danielillu 

No lo dejes pasar. Siempre confiamos en “otro lo hara” y asi nos va todo.

ya que tu sabes el procedimiento que has seguido, comunicaselo a google y bloglines. aunque casi seguro que la culpa es de bloglines por usar la cache de forma digamos “indebida” o almenos, mal usada. deberian filtrar gmail para que sea non-cacheable.
decirles algo al gmail team es facil, yo mismo lo he hecho y se lo toman con seriedad, e incluso se ponen en contacto contigo para que les remitas mas informacion/pruebas.

supongo que bloglines sera parecido.

yo 

La vulnerabilidad no parece que sea de gmail, mas bien de bloglines. Gmail protege el feed con usuario y contrasenha, si tu pones esos datos en otro servicio… que culpa tiene gmail?

Avisa a bloglines. Y la proxima tal vez seria mejor que los avisases antes de decirlo publicamente , y de que lo arreglen mandas mensajito a bugtraq, lo pones en tu bitacora y esas cosas ;) De todas formas es de agradecer lo que has hecho

Groove 

Uf, pues va a ser que si que pasa lo peor de todo que al editar tu subscripción al FEED de gmail que ocurre, que salen las passwords de los usuarios.! CRAP! habra que reportarlo a google ;-) y sacar un pequeño advisory. :-S, lo que uno descubre a chorra eh!, venga enhorabuena por el fallo. Sí no te importa linkare la noticia al mio.
Saludos.

morri 

PUes vaya mal rollo, yo prefiero leer mi e-mail en mi cuenta, con mi Gmail notifier para que me avise y punto en boca jajaja Nada de feeds para el mail.

jmarinco 

Hola.. a mi esto ya me ha ocurrido variada vez.. asi que como dicen .. seria bueno que lo comunicaras a la gente de Google..

Avery J. Parker  (Pingback)

[…] I don’t know about this, and will be curious to see what the answer is…. barrapunto.com had the link to a post from a Gmail user who notes… Gmail has the capability to have a feed of your new messages in Atom format. (We’re talking rss feeds here.) That’s all well and good. He went to bloglines though and tried to setup viewing of his feed…. and saw tons of email - NOT HIS. […]

zacarias 

Yo pienso que tanto Gmail como Bloglines tienen su parte de culpa.

NetDancer 

A ver, voy a intentar aclarar algunos puntos:

1. Como ya dije, si no he avisado a los chicos de Google y Bloglines es porque no estaba totalmente seguro. Por otra parte, el fallo sólo afecta a aquellos que hayan incluido su feed en Bloglines (afortunadamente son muy pocos hasta el momento), y lo que he publicado no es una información que pueda aprovecharse de inmediato para perjudicar a terceros.
¿Alguien tiene los mails para bug-report a mano?

2. Considero que el fallo es de ambos servicios, pero principalmente de Gmail. Es lógico que Bloglines cachee los feeds por defecto, aunque a partir de ahora deberían crear unas cuantas “blacklists” internas para este tipo de cosas. Por otra parte, el sistema utilizado por Gmail no me parece el más adecuado (una URL común para todas las cuentas puede dar lugar a este y otros muchos fallos).

3. El usuario no tiene la necesidad de introducir nombre de usuario y contraseña en Bloglines para añadir su feed de correo, basta con que ya esté logueado en Gmail. Esto que parece una tontería, puede llegar a generar actitudes verdaderamente maliciosas, ya que alguien podría generar “falsos” enlaces que añadieran nuestro feed de correo a Bloglines.

Creo que me dejo alguna cosa en el tintero…

Apostols 

El problema es el blogline. Reportalo para que reparen el fallo.

biboz 

Menos mal que no suelo utilizar agregadores de feeds ;)

::aguayoki::  (Pingback)

[…] Además, al parecer queda expuesta tu clave de Gmail… Hasta ahora, los usuarios, tanto en el blog de NetDancer (quien denuncia la vulnerabilidad) como en Barrapunto, discuten el porqué pasa esto… Y claro, seguramente ya le habrán avisado a Bloglines. Así que por el momento, lo más sano es… No utilizar el feed de Gmail. ¡Así de simple! […]

daka 

Puf, pues vaya tela, gracias por el aviso, espero que esto se solucione rapido, pq evidentemente no vamos a hacer nadie un uso “malicioso” pero probar a ver si a nosotros nos tira = pos..

Arielinux 

Gracias por el aviso…

google.dirson.com 

Independientemente de que exista un fallo en Bloglines o en Gmail, creo que se trata de un error de concepto.

Si te suscribes a un feed con información personal, a través de una URL única con aspecto único, no puedes esperar que el servidor de Bloglines hable con el de Gmail y diga “ah si, se trata de la información del correo del usuario X”. No tienen ningún dato para distinguir un usuario de otros (a no ser que introduzcas en el feed los datos de ‘user’ y ‘passwd’ como algunos usuarios han hecho torpemente).

Los feeds de Gmail fueron creados para ser utilizados por agregadores instalados en máquinas con acceso restringido (por ejemplo, lectores de feeds en local).

NetDancer 

Yo no esperaba que funcionara, ya lo decía en post, pero tampoco esperaba encontrarme con correos ajenos… o_O

Jcl 

En cualquier caso, y dado que Bloglines no tiene acceso a tus cookies de autentificación cuando cachea esa información desde el feed (es decir, la “bajada” de información del feed no la hace tu ordenador, sino el servidor de bloglines), el correo que estarías leyendo sería del empleado de Ask Jeeves (empresa que posee Bloglines) que se autentificó en el servidor en su cuenta de gmail (y por tanto, a la hora de descargar el feed, usó esas cookies).

Eso pasa, desde luego, por no tener un lector propio de http y usar el que sea que usen (que tenga acceso a las cookies del navegador) :-)

Dudo que -mis- correos puedan leerse en bloglines, agregue yo ese feed o no (de ningún modo Gmail mandará mis mails a los ordenadores Bloglines, dado que no existe en ellos ninguna clase de autentificación con mi nombre de usuario para con Gmail)

NetDancer 

Corrígeme si me equivoco, pero también cabe la posibilidad de que el encabezado del feed haga una comprobación de la cookie alojada en el equipo desde el que se accede a la lectura, y que Bloglines pueda cachear el contenido una vez que esta comprobación ha sido positiva, y por tanto ha sido mostrado el feed. Principalmente lo digo porque lo del empleado de turno no parece ser la respuesta al misterio: Hice un par de pruebas, y mientras que en la primera me aparecieron los mails de un tipo que parecía español, en la segunda eran los de alguien de habla portuguesa.

Jcl 

Un feed no puede hacer eso (o, al menos, a mi no me cabe en la cabeza cómo). A la hora de hacer la petición http a la URL, Gmail busca una cookie en el cliente que hace la petición.

El problema es que, al contrario de lo que pensáis, no se trata de una autentificación por una cookie (como decís vosotros y yo me había fiado). Es una autentificación http en toda regla (que imagino se salta si tienes ya el cookie activado). Si entrais a la URL http://mail.google.com/mail/feed/atom/ desde un navegador en el cual no hayais hecho login a Gmail, os saldrá la ventanita de petición de usuario y contraseña (la cual SOLO se puede conseguir usando una petición de autentificación http).

La cookie solo la tiene tu navegador (y no Bloglines), pero una petición http si se puede pasar al usuario y se puede hacer tunel por otros servidores.

wifi 

interesante bug ;)