В Twitter для Android исправлена ошибка, которая могла использоваться для взлома аккаунтов
Разработчики Twitter в последнем обновлении мобильного приложения социальной сети для платформы Android устранили серьёзную уязвимость, которая могла использоваться злоумышленниками для просмотра скрытой информации пользовательских аккаунтов. Кроме того, она могла применяться для публикации твитов и отправки личных сообщений от имени жертвы.
В сообщении в официальном блоге разработчиков Twitter говорится, что уязвимость могла использоваться злоумышленниками для запуска сложного процесса внедрения вредоносного кода во внутреннее хранилище приложения Twitter. Предполагается, что данная ошибка могла использоваться для получения данных о местоположении пользовательского устройства.
Разработчики говорят о том, что в их распоряжении нет доказательств того, что упомянутая уязвимость кем-либо использовалась на практике. Однако они предупреждают о том, что это могло случиться. «Мы не можем быть полностью уверены в том, что уязвимость не использовалась злоумышленниками, поэтому мы проявляем особую осторожность», — говорится в сообщении разработчиков Twitter.
В настоящее время представители Twitter связываются с пользователями, которые, по их мнению, могли пострадать, чтобы проинструктировать их о том, как можно защитить свой аккаунт в социальной сети. Отмечается, что пользователей мобильного приложения Twitter для платформы iOS данная уязвимость не затрагивает. Если вы получили сообщение от Twitter, то следует воспользоваться предоставленными в нём инструкциями, чтобы обезопасить свой аккаунт. Кроме того, разработчики рекомендуют как можно быстрее обновить приложение до последней версии через магазин цифрового контента Play Store, если это ещё не было сделано. При необходимости пользователям рекомендуется обратиться в службу поддержки Twitter для получения дополнительной информации о том, как обеспечить безопасность собственного аккаунта в социальной сети.
Разработчики Twitter в последнем обновлении мобильного приложения социальной сети для платформы Android устранили серьёзную уязвимость, которая могла использоваться злоумышленниками для просмотра скрытой информации пользовательских аккаунтов. Кроме того, она могла применяться для публикации твитов и отправки личных сообщений от имени жертвы.
В сообщении в официальном блоге разработчиков Twitter говорится, что уязвимость могла использоваться злоумышленниками для запуска сложного процесса внедрения вредоносного кода во внутреннее хранилище приложения Twitter. Предполагается, что данная ошибка могла использоваться для получения данных о местоположении пользовательского устройства.
Разработчики говорят о том, что в их распоряжении нет доказательств того, что упомянутая уязвимость кем-либо использовалась на практике. Однако они предупреждают о том, что это могло случиться. «Мы не можем быть полностью уверены в том, что уязвимость не использовалась злоумышленниками, поэтому мы проявляем особую осторожность», — говорится в сообщении разработчиков Twitter.
В настоящее время представители Twitter связываются с пользователями, которые, по их мнению, могли пострадать, чтобы проинструктировать их о том, как можно защитить свой аккаунт в социальной сети. Отмечается, что пользователей мобильного приложения Twitter для платформы iOS данная уязвимость не затрагивает. Если вы получили сообщение от Twitter, то следует воспользоваться предоставленными в нём инструкциями, чтобы обезопасить свой аккаунт. Кроме того, разработчики рекомендуют как можно быстрее обновить приложение до последней версии через магазин цифрового контента Play Store, если это ещё не было сделано. При необходимости пользователям рекомендуется обратиться в службу поддержки Twitter для получения дополнительной информации о том, как обеспечить безопасность собственного аккаунта в социальной сети.
Конфликт из-за отображения шапки Санта-Клауса в открытом редакторе кода Visual Studio Code
Компания Microsoft была вынуждена на сутки заблокировать доступ к системе отслеживания ошибок открытого редактора кода Visual Studio Code из-за конфликта, получившего неформальное название "SantaGate". Конфликт разразился после изменения кнопки доступа к настройкам, на которой в канун рождества была размещена шапка Санта-Клауса. Один из пользователей потребовал убрать рождественское изображение, так как оно является религиозной символикой и воспринимается им как оскорбление.
Компания Microsoft извинилась и заменила изображение на снежинку, после чего в системе отслеживания ошибок Visual Studio Code поднялась буря негодования на то, что Microsoft уступила требованию тролля или фанатика, несмотря на то, что в современном мире Санта-Клаус не имеет никакого отношения к религии и упомянутое в жалобе сравнение шапки Санта-Клауса со свастикой выглядит как троллинг или неадекватное поведение.
Разразилась бурная дискуссия, в которую вклинились сторонники различных религиозных убеждений, а также приверженцы и противники "пасхальных яиц" в коде. Стали поступать жалобы на то, что удаление шапки Санта-Клауса и внесение изменений из-за мнения одного борца за социальную справедливость (SJW) воспринимается как оскорбление. Некоторые попытались довести ситуацию до абсурда и упомянули то, что написание кода на английском языке может восприниматься как навязывание западного империализма, а снежинка намекает на расовые различия.
Так как многие комментарии явно нарушали Кодекс поведения Microsoft, доступ к системе отслеживания ошибок был временно закрыт, а сообщения почищены. После оценки ситуации компания Microsoft приняла компромиссное решение - в настойки добавлена возможность изменения внешнего вида кнопки (в списке предложено более 10 праздничных вариантов).
А вы за кого?
Компания Microsoft была вынуждена на сутки заблокировать доступ к системе отслеживания ошибок открытого редактора кода Visual Studio Code из-за конфликта, получившего неформальное название "SantaGate". Конфликт разразился после изменения кнопки доступа к настройкам, на которой в канун рождества была размещена шапка Санта-Клауса. Один из пользователей потребовал убрать рождественское изображение, так как оно является религиозной символикой и воспринимается им как оскорбление.
Компания Microsoft извинилась и заменила изображение на снежинку, после чего в системе отслеживания ошибок Visual Studio Code поднялась буря негодования на то, что Microsoft уступила требованию тролля или фанатика, несмотря на то, что в современном мире Санта-Клаус не имеет никакого отношения к религии и упомянутое в жалобе сравнение шапки Санта-Клауса со свастикой выглядит как троллинг или неадекватное поведение.
Разразилась бурная дискуссия, в которую вклинились сторонники различных религиозных убеждений, а также приверженцы и противники "пасхальных яиц" в коде. Стали поступать жалобы на то, что удаление шапки Санта-Клауса и внесение изменений из-за мнения одного борца за социальную справедливость (SJW) воспринимается как оскорбление. Некоторые попытались довести ситуацию до абсурда и упомянули то, что написание кода на английском языке может восприниматься как навязывание западного империализма, а снежинка намекает на расовые различия.
Так как многие комментарии явно нарушали Кодекс поведения Microsoft, доступ к системе отслеживания ошибок был временно закрыт, а сообщения почищены. После оценки ситуации компания Microsoft приняла компромиссное решение - в настойки добавлена возможность изменения внешнего вида кнопки (в списке предложено более 10 праздничных вариантов).
А вы за кого?
Forwarded from Мега-Техника
Motorola отложила начало продаж смартфонов Razr
Motorola отложила предзаказ и старт продаж смартфона-раскладушки с гибким экраном Razr. Об этом сообщает The Verge со ссылкой на заявление компании.
Перенос будет незначительным, пообещали в Motorola, но точные сроки не назвали. Изначально компания планировала открыть предзаказ 26 декабря 2019 года и начать доставку клиентам в январе 2020 года.
Спрос быстро превзошёл прогнозы поставок. Motorola решила скорректировать сроки начала предпродаж и запуска Razr, чтобы справиться со спросом.
"Мы работаем над определением нужного количества и расписания, чтобы убедиться, что как можно больше желающих смогут получить Razr на старте. Мы не ожидаем значительных переносов по сравнению с первоначальными сроками запуска."
из заявления Motorola
Производитель объяснил, что спрос на новый Razr оказался слишком высокий и компания хочет избежать ситуации на старте продаж, когда не все желающие смогут купить смартфон.
Motorola представила Razr в ноябре 2019 года. Смартфон получил форм-фактор раскладушки, как и оригинальный Razr V3, выпущенный в 2004 году. Устройство оснащено гибким экраном 6,2 дюйма, который складывается посередине. На внешней стороне есть ещё один 2,7-дюймовый дисплей. Стоимость Razr начинается от $1499, на первом этапе Motorola будет продавать его только в США.
А вы купили бы такой смартфон?
Motorola отложила предзаказ и старт продаж смартфона-раскладушки с гибким экраном Razr. Об этом сообщает The Verge со ссылкой на заявление компании.
Перенос будет незначительным, пообещали в Motorola, но точные сроки не назвали. Изначально компания планировала открыть предзаказ 26 декабря 2019 года и начать доставку клиентам в январе 2020 года.
Спрос быстро превзошёл прогнозы поставок. Motorola решила скорректировать сроки начала предпродаж и запуска Razr, чтобы справиться со спросом.
"Мы работаем над определением нужного количества и расписания, чтобы убедиться, что как можно больше желающих смогут получить Razr на старте. Мы не ожидаем значительных переносов по сравнению с первоначальными сроками запуска."
из заявления Motorola
Производитель объяснил, что спрос на новый Razr оказался слишком высокий и компания хочет избежать ситуации на старте продаж, когда не все желающие смогут купить смартфон.
Motorola представила Razr в ноябре 2019 года. Смартфон получил форм-фактор раскладушки, как и оригинальный Razr V3, выпущенный в 2004 году. Устройство оснащено гибким экраном 6,2 дюйма, который складывается посередине. На внешней стороне есть ещё один 2,7-дюймовый дисплей. Стоимость Razr начинается от $1499, на первом этапе Motorola будет продавать его только в США.
А вы купили бы такой смартфон?
Forwarded from Мега-Техника
«А-а-а-а-а-а!» — примерно так сейчас выглядит процесс выбора подарков в твоей голове?
Не поддавайся панике, у нас есть отличный вариант! 🎁
По промокоду NOKIAMOBILE1500 до 31 декабря ты получаешь скидку 1500 ₽ на покупку любого смартфона в официальном интернет-магазине Nokia. Классная камера, большой дисплей и даже персональный собеседник — Google Ассистент. Выбирай стильные смартфоны Nokia для близких и для себя любимого.
Вперёд, пока все не разобрали:
http://bit.ly/2QawHe6
Не поддавайся панике, у нас есть отличный вариант! 🎁
По промокоду NOKIAMOBILE1500 до 31 декабря ты получаешь скидку 1500 ₽ на покупку любого смартфона в официальном интернет-магазине Nokia. Классная камера, большой дисплей и даже персональный собеседник — Google Ассистент. Выбирай стильные смартфоны Nokia для близких и для себя любимого.
Вперёд, пока все не разобрали:
http://bit.ly/2QawHe6
В Windows 10 нашли баг, который был ещё в Windows XP
В последней версии Windows 10 под номером 1909 обнаружилась проблема, которая восходит ещё ко временам Windows XP. Дело в том, что контекстное меню некоторых программ, вроде мессенджера Pidgin, частично перекрывалось панелью задач. Из-за этого некоторые пункты оказываются недоступны.
Отмечается, что проблема была решена в Windows 10 April 2018 Update, однако в текущей версии Windows 10 November 2019 Update она снова проявилась, хотя это происходит лишь с некоторыми программами и не прогнозируемо.
Судя по всему, проблема не привязана к приложению, а кроется в самой системе. Дело в том, что панель задач отрисовывается поверх всех окон и элементов интерфейса. Очевидно, в некоторых случаях происходит ошибочная отрисовка.
На данный момент не уточняется, планируют ли в Редмонде выпустить патч, исправляющий проблему. Также неясно, почему его не внедрили в ядро ещё на этапе проектирования.
Разумеется, это далеко не единственная проблема «десятки», однако довольно странно ее видеть в современной ОС, учитывая, что ей уже два десятка лет.
Обращаете ли вы внимание на такие "мелочи" в ПО?
В последней версии Windows 10 под номером 1909 обнаружилась проблема, которая восходит ещё ко временам Windows XP. Дело в том, что контекстное меню некоторых программ, вроде мессенджера Pidgin, частично перекрывалось панелью задач. Из-за этого некоторые пункты оказываются недоступны.
Отмечается, что проблема была решена в Windows 10 April 2018 Update, однако в текущей версии Windows 10 November 2019 Update она снова проявилась, хотя это происходит лишь с некоторыми программами и не прогнозируемо.
Судя по всему, проблема не привязана к приложению, а кроется в самой системе. Дело в том, что панель задач отрисовывается поверх всех окон и элементов интерфейса. Очевидно, в некоторых случаях происходит ошибочная отрисовка.
На данный момент не уточняется, планируют ли в Редмонде выпустить патч, исправляющий проблему. Также неясно, почему его не внедрили в ядро ещё на этапе проектирования.
Разумеется, это далеко не единственная проблема «десятки», однако довольно странно ее видеть в современной ОС, учитывая, что ей уже два десятка лет.
Обращаете ли вы внимание на такие "мелочи" в ПО?
Коллеги, небольшой опрос. Кто какую ОС использует?
Anonymous Poll
80%
Windows
16%
Linux и прочие
5%
MacOS
Состоялся релиз новой стабильной ветки сетевого анализатора Wireshark 3.2.
Напомним, что изначально проект развивался под именем Ethereal, но в 2006 году из-за конфликта с владельцем торговой марки Ethereal, разработчики были вынуждены переименовать проект в Wireshark.
Ключевые новшества Wireshark 3.2.0:
Для HTTP/2 реализована поддержка потокового режима пересборки пакетов (reassembly).
Добавлена поддержка импорта профилей из архивов zip или из существующих каталогов в ФС.
Добавлена поддержка распаковки HTTP/HTTP2-сеансов, в которых используется алгоритм сжатия Brotli.
Добавлена возможность компоновки в режиме drag&drop через перетаскивание мышью полей в заголовок для создания столбца для этого поля или во входную область дисплейного фильтра для создания нового фильтра. Для создания нового фильтра для элемента столбца этот элемент теперь можно просто перетащить в область дисплейного фильтра.
В системе сборки реализована проверка установки в систему библиотеки SpeexDSP (если данная библиотека отсутствует применяется встроенная реализация обработчика кодека Speex).
Обеспечена возможность расшифровки туннелей WireGuard с использованием ключей, встроенных в pcapng-дамп, в дополнение к существующим настройкам лога ключей.
Добавлено действие для извлечения учётных данных из файла с захваченным трафиком, вызываемое через опцию "-z credentials" в tshark или через меню "Tools > Credentials" в Wireshark.
В Editcap добавлена поддержка разбивки файлов на основе дробных значений интервалов;
В диалоге "Enabled Protocols" включать, выключать и инвертировать протоколы теперь можно только на основе выбранного фильтра. Тип протокола также может быть определён на основании значения фильтра.
Для macOS добавлена поддержка тёмной темы оформления. Улучшена поддержка тёмной темы для остальных платформ.
В меню со списком пакетов и детальной информацией, представленных в действиях "Analyze > Apply as Filter" и "Analyze > Prepare a Filter", обеспечен предварительный просмотр соответствующих фильтров.
Файлы Protobuf (*.proto) теперь могут быть настроены для разбора сериализированных данных Protobuf, таких как gRPC.
Добавлена возможность разбора сообщения о методе потока gRPC с использованием функции пересборки потока HTTP2.
Добавлена поддержка протоколов:
*3GPP BICC MST (BICC-MST),
*3GPP log packet (LOG3GPP),
*3GPP/GSM Cell Broadcast Service Protocol (cbsp),
*Bluetooth Mesh Beacon,
*Bluetooth Mesh PB-ADV,
*Bluetooth Mesh Provisioning PDU,
*Bluetooth Mesh Proxy,
*CableLabs Layer-3 Protocol IEEE EtherType 0xb4e3 (CL3),
*DCOM IProvideClassInfo,
*DCOM ITypeInfo,
*Diagnostic Log and Trace (DLT),
*Distributed Replicated Block Device (DRBD),
*Dual Channel Wi-Fi (CL3DCW),
*EBHSCR Protocol (EBHSCR),
*EERO Protocol (EERO),
*evolved Common Public Radio Interface (eCPRI),
*File Server Remote VSS Protocol (FSRVP),
*FTDI FT USB Bridging Devices (FTDI FT),
*Graylog Extended Log Format over UDP (GELF), GSM/3GPP CBSP (Cell ***Broadcast Service Protocol),
*Linux net_dm (network drop monitor),
*MIDI System Exclusive DigiTech (SYSEX DigiTech),
*Network Controller Sideband Interface (NCSI),
*NR Positioning Protocol A (NRPPa) TS 38.455,
*NVM Express over Fabrics for TCP (nvme-tcp),
*OsmoTRX Protocol (GSM Transceiver control and data),
*Scalable service-Oriented MiddlewarE over IP (SOME/IP).
Пользуетесь ли вы этой утилитой?
Напомним, что изначально проект развивался под именем Ethereal, но в 2006 году из-за конфликта с владельцем торговой марки Ethereal, разработчики были вынуждены переименовать проект в Wireshark.
Ключевые новшества Wireshark 3.2.0:
Для HTTP/2 реализована поддержка потокового режима пересборки пакетов (reassembly).
Добавлена поддержка импорта профилей из архивов zip или из существующих каталогов в ФС.
Добавлена поддержка распаковки HTTP/HTTP2-сеансов, в которых используется алгоритм сжатия Brotli.
Добавлена возможность компоновки в режиме drag&drop через перетаскивание мышью полей в заголовок для создания столбца для этого поля или во входную область дисплейного фильтра для создания нового фильтра. Для создания нового фильтра для элемента столбца этот элемент теперь можно просто перетащить в область дисплейного фильтра.
В системе сборки реализована проверка установки в систему библиотеки SpeexDSP (если данная библиотека отсутствует применяется встроенная реализация обработчика кодека Speex).
Обеспечена возможность расшифровки туннелей WireGuard с использованием ключей, встроенных в pcapng-дамп, в дополнение к существующим настройкам лога ключей.
Добавлено действие для извлечения учётных данных из файла с захваченным трафиком, вызываемое через опцию "-z credentials" в tshark или через меню "Tools > Credentials" в Wireshark.
В Editcap добавлена поддержка разбивки файлов на основе дробных значений интервалов;
В диалоге "Enabled Protocols" включать, выключать и инвертировать протоколы теперь можно только на основе выбранного фильтра. Тип протокола также может быть определён на основании значения фильтра.
Для macOS добавлена поддержка тёмной темы оформления. Улучшена поддержка тёмной темы для остальных платформ.
В меню со списком пакетов и детальной информацией, представленных в действиях "Analyze > Apply as Filter" и "Analyze > Prepare a Filter", обеспечен предварительный просмотр соответствующих фильтров.
Файлы Protobuf (*.proto) теперь могут быть настроены для разбора сериализированных данных Protobuf, таких как gRPC.
Добавлена возможность разбора сообщения о методе потока gRPC с использованием функции пересборки потока HTTP2.
Добавлена поддержка протоколов:
*3GPP BICC MST (BICC-MST),
*3GPP log packet (LOG3GPP),
*3GPP/GSM Cell Broadcast Service Protocol (cbsp),
*Bluetooth Mesh Beacon,
*Bluetooth Mesh PB-ADV,
*Bluetooth Mesh Provisioning PDU,
*Bluetooth Mesh Proxy,
*CableLabs Layer-3 Protocol IEEE EtherType 0xb4e3 (CL3),
*DCOM IProvideClassInfo,
*DCOM ITypeInfo,
*Diagnostic Log and Trace (DLT),
*Distributed Replicated Block Device (DRBD),
*Dual Channel Wi-Fi (CL3DCW),
*EBHSCR Protocol (EBHSCR),
*EERO Protocol (EERO),
*evolved Common Public Radio Interface (eCPRI),
*File Server Remote VSS Protocol (FSRVP),
*FTDI FT USB Bridging Devices (FTDI FT),
*Graylog Extended Log Format over UDP (GELF), GSM/3GPP CBSP (Cell ***Broadcast Service Protocol),
*Linux net_dm (network drop monitor),
*MIDI System Exclusive DigiTech (SYSEX DigiTech),
*Network Controller Sideband Interface (NCSI),
*NR Positioning Protocol A (NRPPa) TS 38.455,
*NVM Express over Fabrics for TCP (nvme-tcp),
*OsmoTRX Protocol (GSM Transceiver control and data),
*Scalable service-Oriented MiddlewarE over IP (SOME/IP).
Пользуетесь ли вы этой утилитой?
Уязвимость в SQLite, позволяющая удалённо атаковать Chrome через WebSQL
Исследователи безопасности из китайской компании Tencent представили новый вариант уязвимости Magellan (CVE-2019-13734), позволяющей добиться выполнения кода при обработке в СУБД SQLite определённым образом оформленных SQL-конструкций. Похожая уязвимость была опубликована теми же исследователями год назад. Уязвимость примечательна тем, что позволяет удалённо атаковать браузер Chrome и добиться получения контроля над системой пользователя при открытии подконтрольных злоумышленнику web-страниц.
Атака на Chrome/Chromium осуществляется через API WebSQL, обработчик которого основывается на коде SQLite. Атака на другие приложения возможна только если они допускают передачу в SQLite SQL-конструкций, поступающих извне, например, используют SQLite в качестве формата для обмена данными. Firefox уязвимости не подвержен, так как компания Mozilla отказались от реализации WebSQL в пользу API IndexedDB.
Google устранил проблему в выпуске Chrome 79. В кодовой базе SQLite проблема была исправлена 17 ноября, а в кодовой базе Chromium - 21 ноября. Проблема присутствует в коде движка полнотекстового поиска FTS3 и через манипуляцию с теневыми таблицами (shadow tables, особый вид виртуальных таблиц с возможностью записи) может привести к повреждению индекса и переполнению буфера. Детальная информация о технике эксплуатации будет опубликована через 90 дней.
Новый релиз SQLite с исправлением пока не сформирован (ожидается 31 декабря). В качестве обходного пути защиты начиная с SQLite 3.26.0 может использоваться режим SQLITE_DBCONFIG_DEFENSIVE, который запрещает запись в теневые таблицы и рекомендован для включения при обработке внешних SQL-запросов в SQLite. В дистрибутивах уязвимость в библиотеке SQLite пока остаётся неисправленной в Debian, Ubuntu, RHEL, openSUSE/SUSE, Arch Linux, Fedora, FreeBSD. Chromium во всех дистрибутивах уже обновлён и не подвержен уязвимости, но проблема может охватывать различные сторонние браузеры и приложения, использующие движок Chromium, а также Android-приложения на базе Webview.
Дополнительно в SQLite также выявлены 4 менее опасные проблемы (CVE-2019-13750, CVE-2019-13751, CVE-2019-13752, CVE-2019-13753), которые могут привести к утечке информации и обходу ограничений (могут использоваться как сопутствующие факторы для атаки на Chrome). Указанные проблемы устранены в коде SQLite 13 декабря. В совокупности проблемы позволили исследователям подготовить рабочий эксплоит, позволяющий выполнить код в контексте процесса Chromium, отвечающего за отрисовку.
Исследователи безопасности из китайской компании Tencent представили новый вариант уязвимости Magellan (CVE-2019-13734), позволяющей добиться выполнения кода при обработке в СУБД SQLite определённым образом оформленных SQL-конструкций. Похожая уязвимость была опубликована теми же исследователями год назад. Уязвимость примечательна тем, что позволяет удалённо атаковать браузер Chrome и добиться получения контроля над системой пользователя при открытии подконтрольных злоумышленнику web-страниц.
Атака на Chrome/Chromium осуществляется через API WebSQL, обработчик которого основывается на коде SQLite. Атака на другие приложения возможна только если они допускают передачу в SQLite SQL-конструкций, поступающих извне, например, используют SQLite в качестве формата для обмена данными. Firefox уязвимости не подвержен, так как компания Mozilla отказались от реализации WebSQL в пользу API IndexedDB.
Google устранил проблему в выпуске Chrome 79. В кодовой базе SQLite проблема была исправлена 17 ноября, а в кодовой базе Chromium - 21 ноября. Проблема присутствует в коде движка полнотекстового поиска FTS3 и через манипуляцию с теневыми таблицами (shadow tables, особый вид виртуальных таблиц с возможностью записи) может привести к повреждению индекса и переполнению буфера. Детальная информация о технике эксплуатации будет опубликована через 90 дней.
Новый релиз SQLite с исправлением пока не сформирован (ожидается 31 декабря). В качестве обходного пути защиты начиная с SQLite 3.26.0 может использоваться режим SQLITE_DBCONFIG_DEFENSIVE, который запрещает запись в теневые таблицы и рекомендован для включения при обработке внешних SQL-запросов в SQLite. В дистрибутивах уязвимость в библиотеке SQLite пока остаётся неисправленной в Debian, Ubuntu, RHEL, openSUSE/SUSE, Arch Linux, Fedora, FreeBSD. Chromium во всех дистрибутивах уже обновлён и не подвержен уязвимости, но проблема может охватывать различные сторонние браузеры и приложения, использующие движок Chromium, а также Android-приложения на базе Webview.
Дополнительно в SQLite также выявлены 4 менее опасные проблемы (CVE-2019-13750, CVE-2019-13751, CVE-2019-13752, CVE-2019-13753), которые могут привести к утечке информации и обходу ограничений (могут использоваться как сопутствующие факторы для атаки на Chrome). Указанные проблемы устранены в коде SQLite 13 декабря. В совокупности проблемы позволили исследователям подготовить рабочий эксплоит, позволяющий выполнить код в контексте процесса Chromium, отвечающего за отрисовку.
Исследователь сопоставил 17 млн телефонов с аккаунтами пользователей Twitter из-за уязвимости приложения на Android
Специалист по безопасности Ибрахим Балич (Ibrahim Balic) обнаружил уязвимость в приложении Twitter для Android, с помощью которой смог сопоставить 17 млн телефонных номеров с аккаунтами пользователей. Об этом пишет TechCrunch.
«Если вы загружаете свой номер телефона, то вы можете узнать данные пользователя», — сказал Балич изданию. Он сгенерировал более двух миллиардов номеров и загрузил их в приложение.
За два месяца Балич смог получить данные пользователей из Израиля, Турции, Ирана, Греции, Армении, Франции и Германии. Однако 20 декабря Twitter пресекла его попытки.
Как отмечает TechCrunch, в этот день компания сообщила об исправлении уязвимости в приложении Twitter для Android, которая позволяла злоумышленникам получить закрытую информацию об учётной записи или отправлять сообщения от имени пользователя.
Сам Балич не стал сообщать Twitter об уязвимости, но отправил предупреждение по многим телефонным номерам в WhatsApp. В Twitter на момент публикации материала не ответили на запрос издания.
В мае 2019 года Twitter рассказала, что случайно собирала и передавала третьей стороне данные о местоположении некоторых пользователей iOS-приложения. В августе соцсеть уведомила о возможной передаче своим рекламным партнёрам части данных пользователей без их согласия.
Специалист по безопасности Ибрахим Балич (Ibrahim Balic) обнаружил уязвимость в приложении Twitter для Android, с помощью которой смог сопоставить 17 млн телефонных номеров с аккаунтами пользователей. Об этом пишет TechCrunch.
«Если вы загружаете свой номер телефона, то вы можете узнать данные пользователя», — сказал Балич изданию. Он сгенерировал более двух миллиардов номеров и загрузил их в приложение.
За два месяца Балич смог получить данные пользователей из Израиля, Турции, Ирана, Греции, Армении, Франции и Германии. Однако 20 декабря Twitter пресекла его попытки.
Как отмечает TechCrunch, в этот день компания сообщила об исправлении уязвимости в приложении Twitter для Android, которая позволяла злоумышленникам получить закрытую информацию об учётной записи или отправлять сообщения от имени пользователя.
Сам Балич не стал сообщать Twitter об уязвимости, но отправил предупреждение по многим телефонным номерам в WhatsApp. В Twitter на момент публикации материала не ответили на запрос издания.
В мае 2019 года Twitter рассказала, что случайно собирала и передавала третьей стороне данные о местоположении некоторых пользователей iOS-приложения. В августе соцсеть уведомила о возможной передаче своим рекламным партнёрам части данных пользователей без их согласия.
Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и получить файлы web-приложении.
Исследователи из китайской компании Chaitin Tech выявили уязвимость (CVE-2020-1938) в Apache Tomcat, открытой реализации технологий Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Уязвимости присвоено кодовое имя Ghostcat и критический уровень опасности (9.8 CVSS). Проблема позволяет в конфигурации по умолчанию через отправку запроса по сетевому порту 8009 прочитать содержимое любых файлов из каталога web-приложения, в том числе файлов с настройками и исходных текстов приложения.
Уязвимость также даёт возможность импортировать другие файлы в код приложения, что позволяет организовать выполнение кода на сервере, если приложение допускает загрузку файлов на сервер (например, атакующий может загрузить JSP-скрипт под видом картинки через форму загрузки изображения). Атака может быть совершена при возможности отправки запроса на сетевой порт с обработчиком AJP. По предварительным данным, в сети найдено более 1.2 млн хостов, принимающих запросы по протоколу AJP.
Уязвимость присутствует в протоколе AJP, а не вызвана ошибкой в реализации. Помимо приёма соединений по HTTP (порт 8080) в Apache Tomcat по умолчанию допускается обращение к web-приложению через протокол AJP (Apache Jserv Protocol, порт 8009), который представляет собой оптимизированный для достижения более высокой производительности бинарный аналог HTTP, применяемый обычно при создании кластера из Tomcat-серверов или для ускорения взаимодействия с Tomcat на обратном прокси или балансировщике нагрузки.
AJP предоставляет штатную функцию для доступа к файлам на сервере, которую можно использовать в том числе получения файлов, не подлежащих разглашению. Подразумевается, что доступ к AJP открыт только для доверенных серверов, но на деле в конфигурации по умолчанию Tomcat осуществлялся запуск обработчика на всех сетевых интерфейсах, а запросы принимались без аутентификации. Доступ возможен к любым файлам web-приложения, включая содержимое WEB-INF, META-INF и любых других каталогов, отдаваемых через вызов ServletContext.getResourceAsStream(). AJP также позволяет использовать любой файл в доступных для web-приложения каталогах как скрипт JSP.
Проблема проявляется начиная с выпущенной 13 лет назад ветки Tomcat 6.x. Кроме непосредственно Tomcat проблема затрагивает и использующие его продукты, такие как Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), а также самодостаточные web-приложения, использующие Spring Boot. Аналогичная уязвимость (CVE-2020-1745) присутствует в web-сервере Undertow, применяемом в сервере приложений Wildfly. В JBoss и Wildfly протокол AJP по умолчанию включён только в standalone-full-ha.xml, standalone-ha.xml и ha/full-ha профилях в domain.xml. В Spring Boot поддержка AJP отключена по умолчанию. В настоящее время разными группами подготовлено более десятка рабочих примеров эксплоитов ( 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11).
Уязвимость устранена в выпусках Tomcat 9.0.31, 8.5.51 и 7.0.100 (сопровождение ветки 6.x прекращено). Проследить за появлением обновления в дистрибутивах можно на данных страницах: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. В качестве обходной меры защиты можно отключить сервис Tomcat AJP Connector (привязать слушающий сокет с localhost или закомментировать строку с Connector port = "8009"), если в нём нет необходимости, или настроить аутентифицированный доступ при помощи атрибутов "secret" и "address", если сервис используется для взаимодействия с другими серверами и прокси на базе mod_jk и mod_proxy_ajp (mod_cluster аутентификацию не поддерживает).
Исследователи из китайской компании Chaitin Tech выявили уязвимость (CVE-2020-1938) в Apache Tomcat, открытой реализации технологий Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Уязвимости присвоено кодовое имя Ghostcat и критический уровень опасности (9.8 CVSS). Проблема позволяет в конфигурации по умолчанию через отправку запроса по сетевому порту 8009 прочитать содержимое любых файлов из каталога web-приложения, в том числе файлов с настройками и исходных текстов приложения.
Уязвимость также даёт возможность импортировать другие файлы в код приложения, что позволяет организовать выполнение кода на сервере, если приложение допускает загрузку файлов на сервер (например, атакующий может загрузить JSP-скрипт под видом картинки через форму загрузки изображения). Атака может быть совершена при возможности отправки запроса на сетевой порт с обработчиком AJP. По предварительным данным, в сети найдено более 1.2 млн хостов, принимающих запросы по протоколу AJP.
Уязвимость присутствует в протоколе AJP, а не вызвана ошибкой в реализации. Помимо приёма соединений по HTTP (порт 8080) в Apache Tomcat по умолчанию допускается обращение к web-приложению через протокол AJP (Apache Jserv Protocol, порт 8009), который представляет собой оптимизированный для достижения более высокой производительности бинарный аналог HTTP, применяемый обычно при создании кластера из Tomcat-серверов или для ускорения взаимодействия с Tomcat на обратном прокси или балансировщике нагрузки.
AJP предоставляет штатную функцию для доступа к файлам на сервере, которую можно использовать в том числе получения файлов, не подлежащих разглашению. Подразумевается, что доступ к AJP открыт только для доверенных серверов, но на деле в конфигурации по умолчанию Tomcat осуществлялся запуск обработчика на всех сетевых интерфейсах, а запросы принимались без аутентификации. Доступ возможен к любым файлам web-приложения, включая содержимое WEB-INF, META-INF и любых других каталогов, отдаваемых через вызов ServletContext.getResourceAsStream(). AJP также позволяет использовать любой файл в доступных для web-приложения каталогах как скрипт JSP.
Проблема проявляется начиная с выпущенной 13 лет назад ветки Tomcat 6.x. Кроме непосредственно Tomcat проблема затрагивает и использующие его продукты, такие как Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), а также самодостаточные web-приложения, использующие Spring Boot. Аналогичная уязвимость (CVE-2020-1745) присутствует в web-сервере Undertow, применяемом в сервере приложений Wildfly. В JBoss и Wildfly протокол AJP по умолчанию включён только в standalone-full-ha.xml, standalone-ha.xml и ha/full-ha профилях в domain.xml. В Spring Boot поддержка AJP отключена по умолчанию. В настоящее время разными группами подготовлено более десятка рабочих примеров эксплоитов ( 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11).
Уязвимость устранена в выпусках Tomcat 9.0.31, 8.5.51 и 7.0.100 (сопровождение ветки 6.x прекращено). Проследить за появлением обновления в дистрибутивах можно на данных страницах: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. В качестве обходной меры защиты можно отключить сервис Tomcat AJP Connector (привязать слушающий сокет с localhost или закомментировать строку с Connector port = "8009"), если в нём нет необходимости, или настроить аутентифицированный доступ при помощи атрибутов "secret" и "address", если сервис используется для взаимодействия с другими серверами и прокси на базе mod_jk и mod_proxy_ajp (mod_cluster аутентификацию не поддерживает).
Около 10 лет существовала позволяющая взломать любой аккаунт Facebook уязвимость
Исследователь Амол Байкар (Amol Baikar), работающий в сфере информационной безопасности, обнародовал данные о существующей в течение десяти лет уязвимости в протоколе авторизации OAuth, используемом в социальной сети Facebook. Эксплуатация данной уязвимости позволяла осуществлять взлом аккаунтов Facebook.
Упомянутая проблема касается функции «Войти через Facebook», которая позволяет авторизоваться на разных веб-площадках с помощью учётной записи Facebook. Для обмена токенами между facebook.com и сторонними ресурсами применяется протокол OAuth 2.0, который имеет недостатки, позволявшие злоумышленникам перехватывать токены доступа для взлома пользовательских учётных записей. Используя вредоносные сайты, злоумышленники могли получить доступ не только к аккаунтам в Facebook, но и к учётным записям других сервисов, в которых поддерживается функция «Войти через Facebook». В настоящее время большое количество веб-ресурсов поддерживают эту функцию. После получения доступа к аккаунтам жертв злоумышленники могут отправлять сообщения, редактировать данные учётных записей, а также совершать другие действия от имени владельцев взломанных аккаунтов.
Согласно имеющимся данным, исследователь уведомил Facebook об обнаруженной проблеме в декабре прошлого года. Разработчики признали наличие уязвимости и оперативно устранили её. Однако в январе Байкар нашёл обходной путь, позволяющий получить доступ к учётным записям пользователей сети. Позднее Facebook исправила и эту уязвимость, а исследователь получил вознаграждение в размере $55 000.
Исследователь Амол Байкар (Amol Baikar), работающий в сфере информационной безопасности, обнародовал данные о существующей в течение десяти лет уязвимости в протоколе авторизации OAuth, используемом в социальной сети Facebook. Эксплуатация данной уязвимости позволяла осуществлять взлом аккаунтов Facebook.
Упомянутая проблема касается функции «Войти через Facebook», которая позволяет авторизоваться на разных веб-площадках с помощью учётной записи Facebook. Для обмена токенами между facebook.com и сторонними ресурсами применяется протокол OAuth 2.0, который имеет недостатки, позволявшие злоумышленникам перехватывать токены доступа для взлома пользовательских учётных записей. Используя вредоносные сайты, злоумышленники могли получить доступ не только к аккаунтам в Facebook, но и к учётным записям других сервисов, в которых поддерживается функция «Войти через Facebook». В настоящее время большое количество веб-ресурсов поддерживают эту функцию. После получения доступа к аккаунтам жертв злоумышленники могут отправлять сообщения, редактировать данные учётных записей, а также совершать другие действия от имени владельцев взломанных аккаунтов.
Согласно имеющимся данным, исследователь уведомил Facebook об обнаруженной проблеме в декабре прошлого года. Разработчики признали наличие уязвимости и оперативно устранили её. Однако в январе Байкар нашёл обходной путь, позволяющий получить доступ к учётным записям пользователей сети. Позднее Facebook исправила и эту уязвимость, а исследователь получил вознаграждение в размере $55 000.
Последнее февральское обновление Windows 10 приносит новые проблемы: «фризы», BSOD и уменьшение скорости работы
Пользователи Windows 10 сообщают, что обновление, выпущенное в последнюю неделю февраля, вызывает проблемы. Речь идёт о патче KB4535996, который вышел 27 февраля. После его установки у некоторых пользователей возникли серьёзные ошибки в работе ОС.
Отметим, что KB4535996 является дополнительным обновлением и устанавливается только при ручной активации, а не автоматически. Сообщается, что в некоторых случаях установка прерывается с ошибками 0x800f0922 и 0x80070003. При попытке скачивания всё нормально, предварительный этап установки также проходит штатно. Однако при перезагрузке обновление доходит до 6 %, затем прерывается. После ещё одной перезагрузки системы цикл повторяется.
Но если установить патч всё же удалось, то система начинает работать со сбоями. В их числе отмечаются «фризы» — кратковременные замирания системы, BSOD и падение производительности. А на ноутбуках Dell XPS 15 с современными драйверами система может просто не загружаться после перезапуска. При этом звуковые сигналы BIOS указывают на сбой при прохождении инициализации оборудования.
Справедливости ради отметим, что в большинстве случаев ситуация всё же не столь фатальна. Многие пользователи утверждают, что у них обновление KB4535996 установилось штатно и не внесло сбоев в работу. Если же проблемы проявились, то лучшим решением будет удалить обновление.
В самой компании пока не комментируют ситуацию и не признают наличие проблемы. Вероятно, для этого нужна некая «критическая масса» ошибок и жалоб со стороны пользователей.
Пользователи Windows 10 сообщают, что обновление, выпущенное в последнюю неделю февраля, вызывает проблемы. Речь идёт о патче KB4535996, который вышел 27 февраля. После его установки у некоторых пользователей возникли серьёзные ошибки в работе ОС.
Отметим, что KB4535996 является дополнительным обновлением и устанавливается только при ручной активации, а не автоматически. Сообщается, что в некоторых случаях установка прерывается с ошибками 0x800f0922 и 0x80070003. При попытке скачивания всё нормально, предварительный этап установки также проходит штатно. Однако при перезагрузке обновление доходит до 6 %, затем прерывается. После ещё одной перезагрузки системы цикл повторяется.
Но если установить патч всё же удалось, то система начинает работать со сбоями. В их числе отмечаются «фризы» — кратковременные замирания системы, BSOD и падение производительности. А на ноутбуках Dell XPS 15 с современными драйверами система может просто не загружаться после перезапуска. При этом звуковые сигналы BIOS указывают на сбой при прохождении инициализации оборудования.
Справедливости ради отметим, что в большинстве случаев ситуация всё же не столь фатальна. Многие пользователи утверждают, что у них обновление KB4535996 установилось штатно и не внесло сбоев в работу. Если же проблемы проявились, то лучшим решением будет удалить обновление.
В самой компании пока не комментируют ситуацию и не признают наличие проблемы. Вероятно, для этого нужна некая «критическая масса» ошибок и жалоб со стороны пользователей.
ESET Small Office Pack: киберзащита домашних офисов и небольших компаний
ESET представила на российском рынке новый продукт для обеспечения информационной безопасности. Решение под названием Small Office Pack призвано обеспечить защиту небольших домашних офисов и компаний малого бизнеса.
Отмечается, что ESET Small Office Pack позволяет организовать защиту небольшой IT-инфраструктуры с минимальными затратами времени и ресурсов. Решение можно установить и использовать без системного администратора в штате компании.
Ещё одним немаловажным преимуществом продукта является минимальное влияние на производительность систем. Обеспечивается высокая скорость работы на устройствах с любыми характеристиками.
Для ESET Small Office Pack предусмотрены два варианта — базовый и стандартный. Первый предназначен для защиты домашних офисов. В состав пакета входят программы для защиты компьютеров на Windows, macOS и Linux, а также смартфонов и планшетов на Android (лицензии на 3 или 5 устройств в любом сочетании). Обеспечивается защита от вредоносного ПО и хакерских атак. Кроме того, реализованы специальные функции защиты онлайн-платежей и веб-камеры.
Стандартная версия ориентирована на небольшие компании, инфраструктура которых насчитывает до 20 рабочих станций. Данный вариант ESET Small Office Pack включает расширенную защиту компьютеров и Android-устройств, а также продукты для файловых серверов под управлением Windows Server и Linux.
ESET представила на российском рынке новый продукт для обеспечения информационной безопасности. Решение под названием Small Office Pack призвано обеспечить защиту небольших домашних офисов и компаний малого бизнеса.
Отмечается, что ESET Small Office Pack позволяет организовать защиту небольшой IT-инфраструктуры с минимальными затратами времени и ресурсов. Решение можно установить и использовать без системного администратора в штате компании.
Ещё одним немаловажным преимуществом продукта является минимальное влияние на производительность систем. Обеспечивается высокая скорость работы на устройствах с любыми характеристиками.
Для ESET Small Office Pack предусмотрены два варианта — базовый и стандартный. Первый предназначен для защиты домашних офисов. В состав пакета входят программы для защиты компьютеров на Windows, macOS и Linux, а также смартфонов и планшетов на Android (лицензии на 3 или 5 устройств в любом сочетании). Обеспечивается защита от вредоносного ПО и хакерских атак. Кроме того, реализованы специальные функции защиты онлайн-платежей и веб-камеры.
Стандартная версия ориентирована на небольшие компании, инфраструктура которых насчитывает до 20 рабочих станций. Данный вариант ESET Small Office Pack включает расширенную защиту компьютеров и Android-устройств, а также продукты для файловых серверов под управлением Windows Server и Linux.
Пользователи WhatsApp смогут защитить резервные копии паролем
Немного слов о нашей с вами безопасности. Опасаетесь, что кто-то сможет получить доступ к резервным копиям чатов в мессенджере WhatsApp? Например, получив доступ к мобильному телефону. Скоро можно будет не опасаться этого, ведь бэкапы можно будет защищать паролем.
Разработчики популярного мессенджера WhatsApp продолжают тестировать новые полезные функции. Ранее стало известно, что приложение получит поддержку тёмного режима. Теперь же сетевые источники говорят о скором запуске инструмента, способствующего повышению уровня конфиденциальности пользовательских данных.
Не так давно ограниченному числу пользователей стала доступна бета-версия версия WhatsApp 2.20.66. В эту версию приложения разработчики добавили ряд новых функций, главной из которых является возможность защиты пользовательских резервных копий паролем.
Поскольку новая функция была обнаружена в версии WhatsApp для устройств на базе Android, трудно сказать, будет ли она доступна владельцам смартфонов на iOS. В сообщении говорится, что на данный момент защита паролем резервной копии, хранящейся в облачном пространстве Google Drive, находится в разработке, поэтому неизвестно, когда она появится в стабильной версии мессенджера. По сути, функция установки пароля на резервную копию данных исключит вероятность того, что Facebook, которой принадлежит WhatsApp, или Google будут иметь доступ к пользовательской информации. Для использования новой функции потребуется активировать её в меню настроек резервного копирования, а также задать пароль.
На данный момент неизвестно, как именно будет работать новая функция. Очевидно, что пользователи не смогут восстановить историю чатов без ввода пароля, который был установлен в настройках. Рассматриваемая функция появится в одной из следующих стабильных версий мессенджера WhatsApp.
Немного слов о нашей с вами безопасности. Опасаетесь, что кто-то сможет получить доступ к резервным копиям чатов в мессенджере WhatsApp? Например, получив доступ к мобильному телефону. Скоро можно будет не опасаться этого, ведь бэкапы можно будет защищать паролем.
Разработчики популярного мессенджера WhatsApp продолжают тестировать новые полезные функции. Ранее стало известно, что приложение получит поддержку тёмного режима. Теперь же сетевые источники говорят о скором запуске инструмента, способствующего повышению уровня конфиденциальности пользовательских данных.
Не так давно ограниченному числу пользователей стала доступна бета-версия версия WhatsApp 2.20.66. В эту версию приложения разработчики добавили ряд новых функций, главной из которых является возможность защиты пользовательских резервных копий паролем.
Поскольку новая функция была обнаружена в версии WhatsApp для устройств на базе Android, трудно сказать, будет ли она доступна владельцам смартфонов на iOS. В сообщении говорится, что на данный момент защита паролем резервной копии, хранящейся в облачном пространстве Google Drive, находится в разработке, поэтому неизвестно, когда она появится в стабильной версии мессенджера. По сути, функция установки пароля на резервную копию данных исключит вероятность того, что Facebook, которой принадлежит WhatsApp, или Google будут иметь доступ к пользовательской информации. Для использования новой функции потребуется активировать её в меню настроек резервного копирования, а также задать пароль.
На данный момент неизвестно, как именно будет работать новая функция. Очевидно, что пользователи не смогут восстановить историю чатов без ввода пароля, который был установлен в настройках. Рассматриваемая функция появится в одной из следующих стабильных версий мессенджера WhatsApp.
Компания Google не бросает разработку операционной системы Chrome OS, которая совсем недавно получила крупное обновление под версией 80. Стабильная версия Chrome OS 80 должна была выйти ещё несколько недель назад, но разработчики, видимо, просчитались со сроками и обновление прибыло с опозданием по графику.
Одним из важных нововведений 80-й версии стал обновлённый планшетный интерфейс, который можно включить в следующих «флагах»:
--chrome://flags/#webui-tab-strip
--chrome://flags/#new-tabstrip-animation
--chrome://flags/#scrollable-tabstrip
Также для планшетного режима добавили несколько удобных жестов, которые активируются в chrome://flags/#shelf-hotseat.
Была обновлена Linux-подсистема для запуска нативных приложений. В Chrome OS 80 она использует основу Debian 10 Buster. Разработчики отмечают, что это позволило достичь большей стабильности и производительности в использовании Linux-программ на Chrome OS. Важно: после обновления системы все нативные приложения необходимо переустановить из-за нового Linux-контейнера.
Прочие важные нововведения в Chrome OS 80:
--Внедрение технологии Ambient EQ для автоматического регулирования цветовой температуры экрана в зависимости от времени суток и окружающего освещения.
--Добавлена возможность установки Android-приложений через утилиту adb (в режиме разработчика).
--Для Netflix (Android-приложение) добавлена поддержка режима картинка-в-картинке.
Актуальные ноутбуки и планшеты на Chrome OS уже могут обновиться до 80-й версии, а энтузиасты могут скачать последнюю неофициальную сборку на специальном проекте, посвящённом этой ОС для процессоров x86 / x64 и ARM.
Одним из важных нововведений 80-й версии стал обновлённый планшетный интерфейс, который можно включить в следующих «флагах»:
--chrome://flags/#webui-tab-strip
--chrome://flags/#new-tabstrip-animation
--chrome://flags/#scrollable-tabstrip
Также для планшетного режима добавили несколько удобных жестов, которые активируются в chrome://flags/#shelf-hotseat.
Была обновлена Linux-подсистема для запуска нативных приложений. В Chrome OS 80 она использует основу Debian 10 Buster. Разработчики отмечают, что это позволило достичь большей стабильности и производительности в использовании Linux-программ на Chrome OS. Важно: после обновления системы все нативные приложения необходимо переустановить из-за нового Linux-контейнера.
Прочие важные нововведения в Chrome OS 80:
--Внедрение технологии Ambient EQ для автоматического регулирования цветовой температуры экрана в зависимости от времени суток и окружающего освещения.
--Добавлена возможность установки Android-приложений через утилиту adb (в режиме разработчика).
--Для Netflix (Android-приложение) добавлена поддержка режима картинка-в-картинке.
Актуальные ноутбуки и планшеты на Chrome OS уже могут обновиться до 80-й версии, а энтузиасты могут скачать последнюю неофициальную сборку на специальном проекте, посвящённом этой ОС для процессоров x86 / x64 и ARM.
Возможность регистрации фишинговых доменов с похожими unicode-символами в имени
Исследователи из компании Soluble выявили новый способ регистрации доменов с омоглифами, внешне похожими на другие домены, но фактически отличающиеся из-за наличия символов с иным значением. Подобные интернационализированные домены (IDN) могут на первый взгляд не отличаться от доменов известных компаний и сервисов, что позволяет использовать их для фишинга, в том числе получая для них корректные TLS-сертификаты.
Классическая подмена через внешне сходный IDN-домен давно блокируется в браузерах и регистраторами, благодаря запрету смешивания символов из разных алфавитов. Например, подставной домен аpple.com ("xn--pple-43d.com") не получится создать путём замены латинской "a" (U+0061) на кириллическую "а" (U+0430), так как смешивание в домене букв из разных алфавитов не допускается. В 2017 году был найден способ обхода подобной защиты через использование в домене только unicode-символов, без использования латиницы (например, при помощи символов языка с похожими на латиницу символами).
Теперь найден ещё один метод обхода защиты, основанный на том, что регистраторы блокируют смешивание латиницы и Unicode, но если указываемые в домене Unicode-символы относятся к группе латинских символов, такое смешивание допускается, так как символы принадлежат к одному алфавиту. Проблема в том, что в расширении Unicode Latin IPA присутствуют омоглифы, похожие по написанию на другие символы латинского алфавита: символ "ɑ" напоминает "a", "ɡ" - "g", "ɩ" - "l".
Возможность регистрации доменов, в которых латиница смешивается с указанными Unicode символами, была выявлена у регистратора Verisign (другие регистраторы не проверялись), а поддомены удалось создать в сервисах Amazon, Google, Wasabi и DigitalOcean. Проблема была найдена в ноябре прошлого года и, несмотря на отправленные уведомления, спустя три месяца в последний момент была устранена только в Amazon и Verisign.
В ходе эксперимента исследователи потратив 400 долларов зарегистрировали в Verisign следующие домены:
amɑzon.com
chɑse.com
sɑlesforce.com
ɡmɑil.com
ɑppɩe.com
ebɑy.com
ɡstatic.com
steɑmpowered.com
theɡuardian.com
theverɡe.com
washinɡtonpost.com
pɑypɑɩ.com
wɑlmɑrt.com
wɑsɑbisys.com
yɑhoo.com
cɩoudfɩare.com
deɩɩ.com
gmɑiɩ.com
gooɡleapis.com
huffinɡtonpost.com
instaɡram.com
microsoftonɩine.com
ɑmɑzonɑws.com
ɑndroid.com
netfɩix.com
nvidiɑ.com
ɡoogɩe.com
Исследователи также запустили online-сервис для проверки своих доменов на наличие возможных альтернативных вариантов с омоглифами, в том числе с проверкой уже зарегистрированных доменов и TLS-сертификатов с подобными именами. Что касается HTTPS-сертификатов, то через логи Certificate Transparency было проверено 300 доменов с омоглифами, из которых для 15 была зафиксирована генерация сертификатов.
Актуальные браузеры Chrome и Firefox отображают подобные домены в адресной строке в нотации с префиксом "xn--", тем не менее в ссылках домены выглядят без преобразования, что можно использовать для вставки на страницы вредоносных ресурсов или ссылок, под видом их загрузи с легитимных сайтов. Например, на одном из выявленных доменов с омоглифами было зафиксировано распространение вредоносного варианта библиотеки jQuery.
Исследователи из компании Soluble выявили новый способ регистрации доменов с омоглифами, внешне похожими на другие домены, но фактически отличающиеся из-за наличия символов с иным значением. Подобные интернационализированные домены (IDN) могут на первый взгляд не отличаться от доменов известных компаний и сервисов, что позволяет использовать их для фишинга, в том числе получая для них корректные TLS-сертификаты.
Классическая подмена через внешне сходный IDN-домен давно блокируется в браузерах и регистраторами, благодаря запрету смешивания символов из разных алфавитов. Например, подставной домен аpple.com ("xn--pple-43d.com") не получится создать путём замены латинской "a" (U+0061) на кириллическую "а" (U+0430), так как смешивание в домене букв из разных алфавитов не допускается. В 2017 году был найден способ обхода подобной защиты через использование в домене только unicode-символов, без использования латиницы (например, при помощи символов языка с похожими на латиницу символами).
Теперь найден ещё один метод обхода защиты, основанный на том, что регистраторы блокируют смешивание латиницы и Unicode, но если указываемые в домене Unicode-символы относятся к группе латинских символов, такое смешивание допускается, так как символы принадлежат к одному алфавиту. Проблема в том, что в расширении Unicode Latin IPA присутствуют омоглифы, похожие по написанию на другие символы латинского алфавита: символ "ɑ" напоминает "a", "ɡ" - "g", "ɩ" - "l".
Возможность регистрации доменов, в которых латиница смешивается с указанными Unicode символами, была выявлена у регистратора Verisign (другие регистраторы не проверялись), а поддомены удалось создать в сервисах Amazon, Google, Wasabi и DigitalOcean. Проблема была найдена в ноябре прошлого года и, несмотря на отправленные уведомления, спустя три месяца в последний момент была устранена только в Amazon и Verisign.
В ходе эксперимента исследователи потратив 400 долларов зарегистрировали в Verisign следующие домены:
amɑzon.com
chɑse.com
sɑlesforce.com
ɡmɑil.com
ɑppɩe.com
ebɑy.com
ɡstatic.com
steɑmpowered.com
theɡuardian.com
theverɡe.com
washinɡtonpost.com
pɑypɑɩ.com
wɑlmɑrt.com
wɑsɑbisys.com
yɑhoo.com
cɩoudfɩare.com
deɩɩ.com
gmɑiɩ.com
gooɡleapis.com
huffinɡtonpost.com
instaɡram.com
microsoftonɩine.com
ɑmɑzonɑws.com
ɑndroid.com
netfɩix.com
nvidiɑ.com
ɡoogɩe.com
Исследователи также запустили online-сервис для проверки своих доменов на наличие возможных альтернативных вариантов с омоглифами, в том числе с проверкой уже зарегистрированных доменов и TLS-сертификатов с подобными именами. Что касается HTTPS-сертификатов, то через логи Certificate Transparency было проверено 300 доменов с омоглифами, из которых для 15 была зафиксирована генерация сертификатов.
Актуальные браузеры Chrome и Firefox отображают подобные домены в адресной строке в нотации с префиксом "xn--", тем не менее в ссылках домены выглядят без преобразования, что можно использовать для вставки на страницы вредоносных ресурсов или ссылок, под видом их загрузи с легитимных сайтов. Например, на одном из выявленных доменов с омоглифами было зафиксировано распространение вредоносного варианта библиотеки jQuery.
Microsoft выпустила экстренный патч, исправляющий критическую уязвимость Windows 10
Microsoft выпустила незапланированное обновление безопасности KB4551762 для своей операционной системы Windows 10 версий 1909 и 1903. Патч устраняет критическую уязвимость в протоколе Microsoft Server Message block, которая была выявлена после выпуска мартовского пакета обновлений безопасности для данной ОС. Эксплуатация данной уязвимости позволяет злоумышленникам осуществить удалённое выполнение произвольного кода на стороне SMB-клиента или сервера.
Несмотря на то, что использовать данную уязвимость на практике достаточно сложно, специалисты Microsoft отнесли её к критическим. Это связано с тем, что её эксплуатация позволяет автоматически распространять вредоносный код с одной рабочей станции на другую внутри одной сети. Microsoft оперативно выпустила исправление, чтобы избежать сценариев распространения вредоносного ПО, подобных тем, что наблюдались во время атак с использованием вымогателей WannaCry и NotPetya в 2017 году.
Чтобы использовать уязвимость на стороне сервера, злоумышленнику, не прошедшему проверку подлинности, необходимо отправить специально сформированный пакет на целевой SMB-сервер. В случае с клиентом хакерам потребуется особым образом настроить SMB-сервер, а затем убедить жертву подключиться к нему.
Windows 10 обладает сильной защитой, которая делает подобные атаки маловероятными. Однако мотивированные и опытные злоумышленники могут осуществить успешные атаки, используя уязвимость в протоколе SMB. На данный момент неизвестно о случаях, когда упомянутая уязвимость использовалась хакерами на практике. Microsoft рекомендует всем пользователям озаботиться установкой пакета обновлений KB4551762, чтобы обезопасить себя от атак такого типа.
Мы уже обновились, а вы?
Microsoft выпустила незапланированное обновление безопасности KB4551762 для своей операционной системы Windows 10 версий 1909 и 1903. Патч устраняет критическую уязвимость в протоколе Microsoft Server Message block, которая была выявлена после выпуска мартовского пакета обновлений безопасности для данной ОС. Эксплуатация данной уязвимости позволяет злоумышленникам осуществить удалённое выполнение произвольного кода на стороне SMB-клиента или сервера.
Несмотря на то, что использовать данную уязвимость на практике достаточно сложно, специалисты Microsoft отнесли её к критическим. Это связано с тем, что её эксплуатация позволяет автоматически распространять вредоносный код с одной рабочей станции на другую внутри одной сети. Microsoft оперативно выпустила исправление, чтобы избежать сценариев распространения вредоносного ПО, подобных тем, что наблюдались во время атак с использованием вымогателей WannaCry и NotPetya в 2017 году.
Чтобы использовать уязвимость на стороне сервера, злоумышленнику, не прошедшему проверку подлинности, необходимо отправить специально сформированный пакет на целевой SMB-сервер. В случае с клиентом хакерам потребуется особым образом настроить SMB-сервер, а затем убедить жертву подключиться к нему.
Windows 10 обладает сильной защитой, которая делает подобные атаки маловероятными. Однако мотивированные и опытные злоумышленники могут осуществить успешные атаки, используя уязвимость в протоколе SMB. На данный момент неизвестно о случаях, когда упомянутая уязвимость использовалась хакерами на практике. Microsoft рекомендует всем пользователям озаботиться установкой пакета обновлений KB4551762, чтобы обезопасить себя от атак такого типа.
Мы уже обновились, а вы?