Новая уязвимость в OC Android

Новая уязвимость в OC Android

Специалист по защите информации Томас Кэннон обнаружил очередную ошибку безопасности во встроенном Интернет-обозревателе операционной системы Android. Эксплуатируя эту уязвимость, злоумышленники могут похитить любые данные, хранящиеся на карте памяти мобильного устройства.

Согласно заявлению исследователя, изъян существует в механизме обработки загружаемых HTML-файлов и, в частности, содержащихся в них сценариев JavaScript. С помощью этой уязвимости можно извлечь и отправить на удаленный сервер какую угодно информацию со съемного SD-носителя, а также некоторые файлы с запоминающего устройства самого телефона.

Ошибка безопасности возникает в результате наложения нескольких различных факторов. В своем блоге эксперт разъяснил сущность выявленной им уязвимости следующим образом:

"1. Обозреватель Android не задает пользователю никаких вопросов при загрузке файла из Интернета; объект payload.html, например, будет сохранен как /sdcard/download/payload.html.
2. С помощью JavaScript можно заставить устройство автоматически запустить этот файл, так что сохраненный payload.html будет отображен в браузере.
3. Открывая сохраненный файл в локальном контексте, обозреватель обработает и исполнит JavaScript-код, причем опять же без отображения каких бы то ни было уведомлений.
4. Когда HTML-файл открыт в локальном контексте, сценарий на JavaScript оказывается вправе читать содержимое файлов на карте памяти и некоторые другие данные.
5. Прочитав информацию из файла, тот же самый сценарий может отправить ее на удаленный сервер".

Некоторым утешением для пользователей Android-устройств могут послужить два факта. Во-первых, для похищения сведений через эту уязвимость злоумышленник должен указать в эксплойт-коде точное имя и местоположение того файла, который он хочет извлечь - в противном случае украсть ничего не удастся. Во-вторых, такой сценарий не будет иметь привилегий суперпользователя, а, следовательно, не сможет получить доступ к системным файлам в собственной памяти телефона.

Г-н Кэннон особо отметил, что серьезность уязвимости вынудила его выступить с предупреждением еще до выпуска соответствующего исправления от Google. Служба безопасности Android уже проинформирована о проблеме, но обновление еще предстоит разработать и опубликовать, а также обеспечить его доставку; пока все эти задачи не решены, пользователи остаются под угрозой компрометации данных.

Специалист рекомендовал владельцам Android-устройств пользоваться сторонними обозревателями (например, Opera), или же отключить обработку JavaScript в параметрах встроенного браузера. Сама Google предложила другой вариант - попросту отсоединить на время карту памяти и ждать выхода патча.

Дополнительная информация, включая видеофайл с демонстрацией уязвимости, доступна в первоисточнике.

МойОфис уведомил сотрудников о предстоящем сокращении

Сотрудники компании «Новые облачные технологии», разработчика офисного пакета «МойОфис», начали получать по электронной почте уведомления о предстоящих сокращениях. Возможные увольнения могут затронуть все подразделения, за исключением службы технической поддержки.

О такой рассылке сообщают «Ведомости» со ссылкой на два источника, близких к компании. По словам одного из них, в штате могут остаться только сотрудники технической поддержки, тогда как остальных работников планируется уволить.

Точный масштаб сокращений источники не уточнили. При этом один из собеседников издания заявил, что некоторые подразделения попали под сокращение в полном составе.

«В чате бывших сотрудников „МойОфис“ состоит свыше 600 человек. Один из них говорит, что их пытались увольнять без компенсаций, но они организовали профсоюз. Тогда под угрозой исков персоналу начали предлагать нормальные условия расставания. По его словам, в ряде случаев трудящихся старались убрать под мнимыми предлогами, включая опоздания на работу на 10 минут, задержку отчётов по командировке на один день и прочее», — сообщил один из информаторов «Ведомостей».

Сообщения о массовых сокращениях в компании начали появляться в СМИ ещё в конце марта. Причиной назывались финансовые трудности, с которыми «Новые облачные технологии» столкнулись в конце 2025 года.

Позже появлялась информация о возможном прекращении выпуска офисного пакета, однако пресс-служба компании оперативно её опровергла. Кроме того, в компании напомнили о выходе нового релиза «МойОфис», который был представлен в тот же день.

RSS: Новости на портале Anti-Malware.ru