Twitter открыла код защитной программы TextSecure

...

Компания-оператор популярного сервиса микроблогов в прошлом месяце приобрела разработчика защитных решений для платформы Android - Whisper Systems. Среди доставшихся ей активов имеется средство закрытия текстовых сообщений TextSecure, которое отныне и впредь официально считается программным обеспечением с открытым исходным кодом.


TextSecure устанавливает дополнительный контур защиты важных сведений на смартфонах и планшетах, работающих под управлением ОС от Google. Перед отправкой текстовых сообщений программа осуществляет их шифрование, предотвращая тем самым несанкционированное ознакомление с информацией в случае ее перехвата. Подобный функционал востребован прежде всего в корпоративной среде, где конфиденциальные сведения часто передаются посредством сетей мобильной связи. Теперь, когда владелец программы позволяет свободно использовать ее, криптозащита текстовых сообщений станет доступнее.

Стоит заметить, что Twitter не стала внедрять купленные технологии в свои собственные решения. Разработки Whisper Systems не вошли в состав приложения Twitter для Android, равно как и не были внедрены на сайте сети микроблогов. Соответственно, приобретенные активы не будут приносить компании прямой прибыли, не считая разве что репутационной выгоды. Тем не менее, можно говорить о том, что Twitter демонстрирует определенные амбиции, намереваясь упрочить свое нынешнее положение и начать оказывать ощутимое влияние на различные секторы рынка информационных технологий.

Сам разработчик в своем комментарии отметил, что всегда был заинтересован в свободном и безопасном общении пользователей как на индивидуальном уровне, так и на корпоративном; следовательно, перевод TextSecure в ранг ПО с открытым кодом - шаг закономерный и логичный. В будущем ряды свободно распространяемых программных решений пополнят и другие продукты Whisper Systems - средства криптозащиты вызовов, резервного копирования данных, обеспечения сетевой безопасности и обороны Android-устройств в целом. С учетом сложной вирусной обстановки подобные шаги Twitter можно только приветствовать.

V3.co.uk

Письмо автору

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru