Опубликована информация о трех XSS-уязвимостях Gmail

Эксперт компьютерной безопасности Нильс Джунман (Nils Junemann) опубликовал техническую информацию о трех XSS-уязвимостях в почтовом сервисе Gmail. В результате успешного использования XSS-уязвимостей злоумышленникам удается скомпрометировать информацию о текущем сеансе пользователя, а при проведение целевой многоуровневой атаки, и вовсе, получить контроль над учетной записью.

Две уязвимости касались особенностей мобильного представления Gmail. Первая уязвимость заключалась в недостаточной проверке данных при формирование заголовка пересылаемого сообщения, что позволяло выполнить произвольный JavaScript-код в момент открытия письма со специально сформированным заголовком. Недостаточная проверка параметров поискового запроса, стала причиной второй XSS-уязвимостью. Третья XSS-уязвимость затронула параметры отображения отдельного сообщения, передает uinc.ru.

Однако, для выполнения внедренного JavaScript-кода пользователю необходимо проследовать по ссылке в письме, которая будет указывать на веб-сайт злоумышленников. Дело в том, что отображение письма требует знания уникального идентификатора пользователя и сообщения. Эти идентификаторы могут быть получены, например, путем внедрения в почтовое сообщение изображения, размещаемого на веб-сайте злоумышленников. Получив уникальный адрес просмотра, злоумышленники могут сформировать специальный URL-перенаправления, перейдя по которому пользователь выполнит вредоносный JavaScript в контексте веб-сайта почтовой службы Gmail.

По заявлению исследователя, все уязвимости были оперативно устранены сотрудниками компании Google. В качестве основной меры борьбы с еще неизвестными XSS-уязвимости, эксперты компьютерной безопасности рекомендуют использовать двухуровневую авторизацию и не открывать письма от неизвестных отправителей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Правительственные хакеры могу использовать USB-зарядки в аэропортах

Специалисты X-Force Threat Intelligence (входит в состав IBM Security) предупреждают об опасности зарядных станций USB в аэропортах. Киберпреступники могут модифицировать эти USB-порты, чтобы установить на смартфон пользователя вредоносную программу и скачать хранимую на устройстве информацию.

О возможных рисках рассказал вице-президент X-Force Threat Intelligence Калеб Барлоу, его слова цитирует Forbes:

«Подключать свое устройство к общедоступному USB-порту равносильно тому, что вы находите на дороге зубную щетку и принимаете решение почистить ей зубы. Вы понятия не имеете, кто пользовался ей. А теперь обратите внимание на тот факт, что такой порт может передавать данные».

Эксперт считает, что гораздо более разумным и безопасным решением будет собственное зарядное устройство, которое можно всегда брать с собой, или портативный блок питания — весьма популярный в последнее время девайс.

Если вы все же хотите использовать общедоступные USB-порты, Барлоу рекомендует обзавестись Juice-Jack Defender, который обойдется приблизительно в $10.

«Это небольшая насадка, которую вы надеваете на конец шнура для зарядки. На деле она блокирует любые передаваемые данные — не дает пройти им дальше себя. В результате вы получаете заряд, но ваши данные пройти не могут».

Барлоу также обращает внимание на тот факт, что деятельность различных правительственных хакеров в настоящее время находится в очень активном состоянии. А это значит, что USB-порты, расположенные в аэропортах создают просто колоссальный риск, ведь хорошо подготовленные киберпреступники могут модифицировать их для своих целей.

По данным IBM Security, правительственные хакеры разрабатывают схемы атак на различных туристов. Следовательно, одним из векторов для таких атак могут стать зарядные станции в аэропортах.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru