Многочисленные уязвимости обнаружены в расширении Pocket для Firefox

Проведя поверхностный анализ защищённости службы Pocket, исследователь выявил серию серьёзных уязвимостей, демонстрирующих халатное отношение разработчиков к защите данных пользователей и показывающих, что при разработке не уделялось должного внимания безопасности.

В частности, через манипуляцию с URL "file://" оказалось возможным получить содержимое системных файлов из серверных окружений Amazon EC2, которые используются для обеспечения работы Pocket.

Проблема была обнаружена после попытки отложить в Pocket ссылку "http://127.0.0.1/server-status", что привело к появлению на другом синхронизированном устройстве содержимого страницы со статистикой работы сервера. Кроме того, был продемонстрирован URL, добавление которого в очередь Pocket приводит к редиректу на "file:///etc/passwd" и позволяет получить содержимое файла /etc/passwd серверов Pocket. Этим методом можно получить доступ для чтения других файлов с с сервера, например, SSH-ключей. Более того, проверка параметров текущего процесса через получение содержимого /proc/self/status показала, что выполняющий запрос процесс выполняется с правами root, что даёт возможность получить полный контроль над сервером, сообщает opennet.ru.

Проблемы с Pocket заслуживают внимания в силу интеграции поддержки данной службы непосредственно в Firefox. Начиная с версии 38.0.5 в Firefox были встроены средства обращения к службе Pocket, которая позволяет отложить страницы, чтобы вернуться к ним когда появится время, в том числе с других устройств. Данное нововведение вызвало неоднозначную реакцию в сообществе и требования исключить поддержку Pocket из основного состава Firefox, ограничив возможность работы с ним как с внешним дополнением. Главным образом, недовольство связано с тем, что Pocket является проприетарной разработкой и его встраивание в Firefox воспринимается как продвижение одного из сторонних коммерческих проектов, пренебрежение персональными данными пользователей и навязывание лишней функциональности, востребованной лишь небольшой категорией пользователей.

Выявленные уязвимости лишний раз указали на то, что проприетарным службам, реализация которых не может быть проконтролирована сообществом, не следует слепо доверять данные пользователей. Информация об уязвимости опубликована после устранения проблемы на стороне Pocket, тем не менее, выявленные проблемы красноречиво говорят об уровне защиты данного сервиса.

Дополнение: Судя по странице с информацией о порядке уведомления администрации Pocket об уязвимостях, в 2015 году поступило 42 уведомления о проблемах с безопасностью в Pocket, в 2014 - 63 уведомления, в 2013 - 53. 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В КидБурге откроется игротека Security Vision

12 июня в городе профессий КидБург в Центральном детском магазине на Лубянке состоится торжественное открытие новой игровой локации – Центра кибербезопасности Security Vision.

В новом игровом пространстве города профессий КидБург все по-настоящему. На площади 40 квадратных метров развернется настоящий центр по защите личной информации и предотвращению киберпреступлений. Спасать КидБург от киберпреступников ребятам придётся в режиме реального времени с использованием высокотехнологичного программного обеспечения.

Освоить профессию специалиста центра кибербезопасности смогут ребята от 8 лет, а основам информационной безопасности смогут обучится даже маленькие дети, правда при помощи родителей, в игротеке предусмотрены семейные наборы.

Ребята смогут не только попробовать себя в самых популярных профессиях кибербезопасности, но и узнать интересные факты из сферы ИТ: что такое вирусы, социальная инженерия, фишинг. Научатся соблюдать цифровую гигиену и противостоять уловкам мошенников. Вся эта информация будет полезна не только детям, но и их родителям.

Игровой сценарий подразумевает обучение, практику и даже «зарплату» в специальной валюте КидБурга — профи. Заработанные профи можно потратить в сувенирном магазине «Профишоп» или положить на личный «счет» и использовать при следующем посещении города профессий.

«Сейчас вопросы кибербезопасности как никогда актуальны и обсуждаются на всех уровнях страны. Защита информации — неотъемлемая часть любой современной ИТ системы. Важно не только рассказывать об этом, но и дать подрастающему поколению возможность получить базовые навыки цифровой гигиены и принципов информационной безопасности, ведь именно сегодняшние дети станут оплотом кибербезопасности в будущем. Город профессий КидБург – прекрасная площадка для этого», — прокомментировал генеральный директор Security Vision Руслан Рахметов.

«Город профессий КидБург — крупнейший российский проект в сфере edutainment. Вот уже 14 лет мы помогаем развивать у детей социальные навыки с помощью обучения через игру. Как правило, дети приходят в КидБург несколько раз, ведь у нас всегда можно попробовать что-то новое. Мы рады принять в нашу семью нового партнера Security Vision. Не ошибусь, если скажу, что игротека получилась невероятно современной. Большинство детей имеет доступ к интернету, но многие не знаю о правилах хранения и передачи информации в сети Интернет, и понять изнутри, как устроена сеть будет очень полезно», — рассказала генеральный директор ГК КИДБУРГ Эльвира Крылова.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru