25% протестированных расширений Google Chrome допускают кражу данных

25% протестированных расширений Google Chrome допускают кражу данных

Обнаружено, что 27 из 100 протестированных расширений Google Chrome уязвимы к атакам по извлечению данных (паролей, истории и т.д.) специально разработанными вредоносными сайтами и взломщиками открытых Wi-Fi сетей.



Трое исследователей безопасности вручную проанализировали 50 наиболее популярных расширений Chrome и прибавили к этому списку ещё 50 выбранных наугад, сообщает xakep.ru

"Мы искали уязвимости JavaScript-инъекций в ядре расширений (странице опций, бэкграундк и поп-апах); инъекция скриптов в ядре позволяет получить полный контроль над расширением", - объяснил Адриан Портер Фелт, один из исследователей. Чтобы доказать своё заявление, они разработали PoC–атаки для того, чтобы использовать уязвимости в своих целях.

Плохая новость состоит в том, что более 25% протестированных расширений были признаны уязвимыми, и семь из них используют более 300 000 пользователей.

Но есть и хорошая новость: 49 из 51 уязвимостей можно пропатчить просто используя одно из двух предложенных правил безопасности (Content Security Policies).

Эти правила различными способами предотвращают внедрение вредоносных кодов: запрещая использование eval функций, так что непроверенные данные не могут быть использованы в качестве кода; перемещая легальный JavaScript в файл .js , так что когда внедряются вредоносные скрипты, они отличаются от законных и их можно сразу распознать; и полностью или частично отвергая все внешние скрипты.

"В дополнение к основным ошибкам, расширения могут добавлять уязвимости на сайты", - отмечает Портер Войлок. "CSP не смогут предотвратить это, но разработчики должны помнить, что нельзя использовать innerHTML для модификации веб-сайтов. Вместо этого используйте innerText или DOM-методы, такие как AppendChild. Расширения также не должны добавлять HTTP-скрипты или CSS для сайтов HTTPS".

ИИ нашёл борщевик и выписал владельцу участка штраф на 150 тысяч рублей

Борщевик Сосновского в Подмосковье вышел на новый уровень цифровой известности. Владельца частного участка впервые оштрафовали по результатам мониторинга с помощью беспилотника и искусственного интеллекта, сообщило областное Министерство сельского хозяйства и продовольствия.

Нарушение обнаружили в Рузском муниципальном округе. Дрон провёл съёмку территории, а система на основе ИИ проанализировала данные и распознала опасное растение.

После этого она сформировала постановление и отправила уведомление владельцу через Госуслуги. Получателем цифрового привета стало юридическое лицо, которому назначили штраф в размере 150 тыс. рублей.

До сих пор заросли борщевика на частных землях нередко оставались проблемой из категории это не наше поле. Между тем около 70% жалоб жителей региона на опасное растение относятся именно к таким участкам. Теперь спрятать ботанический беспорядок за высоким забором будет сложнее: беспилотнику всё равно, а ИИ не боится обжечься.

Пилотный проект позволяет не только находить заросли, но и устанавливать собственников земли, после чего запускать процедуру привлечения к ответственности. Опыт Рузского округа власти рассматривают как основу для внедрения цифрового мониторинга в других муниципалитетах Подмосковья.

Параллельно регион продолжает уничтожать борщевик на муниципальных территориях. Первый этап обработки завершили на площади около 23,5 тыс. га, во время второго повторно обработали более 18,3 тыс. га. Полностью закончить работы планируется до конца августа.

RSS: Новости на портале Anti-Malware.ru