Появились первые версии Firefox с функцией запрета слежения

Появились первые версии Firefox с функцией запрета слежения

Mozilla выпустила первые тестовые версии популярного Интернет-обозревателя Firefox, в которых доступен функционал запрета слежения за пользователем ("do-not-track"). Все те, кому хотелось бы  опробовать новые возможности браузера в действии, могут загрузить и установить соответствующую альфа-сборку.



PCWorld напоминает, что на минувшей неделе Mozilla раскрыла свои планы относительно введения в функционал грядущей версии обозревателя Firefox - 4.0 - особой подсистемы, которая должна стать оптимальным решением для пользователей Сети, не желающих, чтобы их активность в Интернете отслеживалась рекламодателями. Не далее как вчера разработчики уведомили общественность о том, что новая функция (или, правильнее сказать, первая попытка ее реализации) уже вошла в состав последних тестовых сборок, и при желании ее можно проверить в работе.


Стоит отметить, что альфа-версии (сотрудники Mozilla называют их "nightly builds" - "вечерние сборки") предназначены только для проверки функционала; уровень их стабильности ниже, чем у бета-выпусков.


Включить новую подсистему можно в настройках обозревателя: на вкладке "Расширенные настройки" необходимо установить отметку напротив фразы "Сообщать сайтам о запрете на отслеживание".


Механизм "запрета" прост: при включении этого режима каждому сайту будет посылаться особый сигнал. Сейчас он выглядит как "DNT: 1" (ранее предполагалось, что команда будет иметь вид "X-Do-Not-Track"). В теории, получив такой сигнал от обозревателя, ресурс Интернета должен будет отказаться от любых попыток отследить активность пользователя; иными словами, функционал полагается на добрую волю создателей веб-сайтов, которые, возможно, установят на сервере соответствующие настройки.


Разработчики Mozilla признали, что пока видимый эффект от включения новой подсистемы может не наблюдаться: вряд ли на данный момент какие-либо ресурсы Сети вообще способны распознать сигнал "запрета", не говоря уже о его обработке.


По мнению экспертов, потребность в "сотрудничестве" с операторами веб-сайтов (т.е. ожидание проявления доброй воли с их стороны) является основным изъяном этой системы. Многим организациям прекрасно известно, что практика сбора данных о пользователях без их ведома является довольно сомнительной с точки зрения этики, и что Федеральная комиссия США по торговле уже начинает принимать меры по борьбе с этой практикой, но, тем не менее, они продолжают заниматься слежкой за пользователями Сети. Соответственно, было бы несколько наивно ожидать, что они по собственной воле откажутся от этой деятельности только лишь на основании чьей-либо просьбы, которая юридически их ни к чему не обязывает.

" />

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru