В программном обеспечении сети LinkedIn найдена уязвимость безопасности

В программном обеспечении сети LinkedIn найдена уязвимость безопасности

Профессиональная социальная сеть LinkedIn имеет в своем программном обеспечении ряд уязвимостей, ставящих под угрозу пользовательские аккаунты и позволяющих потенциальным взломщикам получать доступ к данным участников LinkedIn без соответствующего разрешения. Об этом сообщают независимые индийские ИТ-специалисты, работающие в рамках проекта WTFuzz.



 Риши Наранг, независимый ИТ-специалист, говорит, что технически уявзимость связана с файлами-идентификаторами, так называемыми cookie, которые выдаются пользовательскому браузеру для идентификации со стороны самой LinkedIn как легитимного пользователя. Проблема заключается в том, что серверное ПО создает cookie под общим именем LEO_AUTH_TOKEN, который действует без истечения целый год, передает cybersecurity.

Наранг говорит, что подавляющее большинство сайтов сейчас выдают клиентским компьютерам cookie для идентификации, но большинство этих файлов имеют срок истечения от 30 до 180 минут, после чего клиенту необходимо авторизоваться повторно. По непонятным причинам у LinkedIn срок жизни cookie был увеличен до 1 года.

По словам Наранга, cookie с большим сроком жизни - это удобно для легитимного пользователя, так как позволяет ему избегать лишних вводов логинов и паролей, но с другой стороны перехват таких файлов дает все эти преимущества хакеру. Дополнительную угрозу создает и тот факт, что передаются cookie по открытым каналам связи, без какого-либо шифрования.

Технически, говорят индийские специалисты, верным решением было бы как минимум сократить срок жизни cookie до 30-60 минут, а также предоставить пользователям на выбор возможность входа через систему SSL.

Наранг говорит, что многие сайты имеют не совсем корректно выставленное время жизни cookie, однако в случае в LinkedIn эта проблема приобретает острый характер ввиду того, что пользователи этой сети оставляют здесь массу своих персональных и деловых данных.

Мошенники атакуют новосибирцев через MAX

Руководство территориального подразделения Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России по Новосибирской области и заместитель начальника Сибирского ГУ Банка России заявили, что телефонные мошенники и организаторы фишинговых атак после замедления зарубежных мессенджеров успешно переключились на отечественные платформы.

Эта тема стала поводом для совместной пресс-конференции заместителя начальника Сибирского ГУ Банка России Павла Вернера и начальника УБК МВД по Новосибирской области Михаила Слабухо.

Как отметил представитель профильного подразделения МВД, злоумышленники используют любые мессенджеры для распространения вредоносных ссылок, и сама платформа не оказывает решающего влияния на успешность атаки.

«Присылают сообщение о том, что якобы кто-то из знакомых потенциальной жертвы умер или произошло ещё какое-то несчастье, — привёл примеры Михаил Слабухо. — По-прежнему актуальна и схема под условным названием “Это ты на фото?”. Во всех случаях цель одна — заставить человека перейти по ссылке, чтобы узнать подробности. После этого жертва теряет доступ к своему устройству, а мошенники, наоборот, получают его», — пояснил он.

Павел Вернер, в свою очередь, отметил, что злоумышленники используют все более или менее популярные платформы. При этом он признал, что Банк России не ведёт отдельной статистики по тому, какие именно мессенджеры и коммуникационные сервисы чаще всего используются в таких атаках.

«Если на вас выходят “доброжелатели”, которые якобы хотят “спасти” ваши деньги; если вас пытаются вывести из психологического равновесия; если от вас требуют принять решение немедленно — знайте, это мошенники», — такую рекомендацию дал представитель финансового регулятора.

Массовую кампанию по распространению вредоносного приложения Mamont злоумышленники начали ещё в начале марта. Основными каналами стали домовые, дачные и родительские чаты. При этом администрация MAX отрицает наличие массовой активности мошенников на этой платформе.

RSS: Новости на портале Anti-Malware.ru