АНБ США ежегодно незаконно перехватывает как минимум 56 000 email

АНБ США ежегодно незаконно перехватывает как минимум 56 000 email

Агентство национальной безопасности США, возможно, непреднамеренно перехватывало десятки тысяч электронных писем американцев в год в период с 2008 по 2011 годы. Об этом свидетельствуют опубликованные в среду документы, в частности, решение секретного суда, усмотревшего в этой практике возможное нарушение законов и Конституции США.

Согласно обнародованным спецслужбами документам, число перехватываемых электронных сообщений американцев могло достигать 56 тысяч в год. Документы были обнародованы в рамках работы по разъяснению общественности, как АНБ выявило, а затем исправило технические проблемы, которые привели к случайному сбору электронной почты американских граждан в отсутствие соответствующих ордеров. Публикация документов стала очередным шагом администрации Барака Обамы в ответ на непрекращающиеся споры вокруг программ электронной слежки АНБ, передает cybersecurity.ru.

Документы включают недавно рассекреченное решение сверхсекретного суда по наблюдению за иностранными разведками, в котором сам суд в расплывчатых формулировках отметил, что, основываясь на информации, представленной АНБ, в период с 2008 по 2011 годы агентство могло непреднамеренно собрать до 56 тысяч электронных сообщений в год.

Эти письма представляют собой только малую долю электронных сообщений, которые АНБ собирает со всего мира. Ежегодно агентство перехватывает около 250 миллионов электронных писем, а в рамках другой программы ведет мониторинг данных о миллионах телефонных звонков американцев. Согласно опубликованным документам, только около 9 процентов электронных сообщений – менее 25 миллионов – перехватывались с кабельных линий, принадлежащих телекоммуникационным компаниям. Остальные предоставлялись АНБ интернет-провайдерами в точке отправления или получения. Представители разведки, выступая на условиях анонимности, выступили в защиту применяемых методов работы.

«Речь не о том, что сверхусердное ведомство перестаралось в своих попытках вести слежку за американцами. Это технологическая проблема, которая привела к непреднамеренному перехвату относительно небольшого числа личных сообщений американских граждан», – заявил высокопоставленный представитель разведслужб.

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru