В почтовой системе Yahoo обнаружена серьезная уязвимость

В почтовой системе Yahoo обнаружена серьезная уязвимость

Вслед за резонансными взломами The Wall Street Journal, The New York Times и Twitter, компания Yahoo признала, что ее почтовый сервис также мог быть взломан, а взломанные аккаунты использованы для рассылки спама. Сложно сказать, являются ли предыдущие взломы и взлом Yahoo связанными между собой, но цели последнего взлома, судя по всему, отличаются от ранее совершенных взломов.

Согласно информации антивирусной компании Bitdefender, в случае с Yahoo, хакеры использовали ряд уязвимостей в безопасности программного обеспечения почтового сервиса Yahoo и перехватывали сессионные файлы-cookie, что позволяло им захватить контроль над пользовательским интерфейсом и рассылать через него спам, используя также систему сокращения ссылок bit.ly. Изначально кампания была ориентирована на западных пользователей, так как использовала только мошеннические письма в стиле сообщений новостного сайта MSNBC, позже мошенники начали рассылать традиционные для таких кампаний предложения о домашнем заработке через интернет, пишет cybersecurity.ru.

В Bitdefender говорят, что по их данным мошенники использовали для проведения атаки специальный код на JavaScript, который использовал XSS-уязвимость, впервые появившуюся в Yahoo Developer Network и связанную с передачей cookie. Ранее многие эксперты по сетевой безопаности неоднократно критиковали компании за использование сессионных cookie-файлов без соответствующего механизма защиты. Так, в случае с атакой имело место использования так называемых supercookie, то есть сессионных файлов, которые выдаются сервером при авторизации пользователя на двух и более разных порталах одного оператора. Как правило, такие файлы-идентификаторы связаны с поддоменами и выдаются основными доменами в отношении доменов более низкого уровня.

Подобная система организации логична и удобна, но лишь тогда, когда у оператора программное обеспечение, лишенное XSS-уязвимостей.

Так, в случае с Yahoo, использование файлов от developer.yahoo.com в некоторых случаях давало расширенный доступ к mail.yahoo.com, что является уязвимостью. Ранее нечто подобное было найдено во многопользовательской версии системы Wordpress.

В Bitdefender говорят, что обнаружили проблему с сайтами Yahoo в среду и в четверг уведомили об этом саму интернет-компанию. Сейчас, как заверяют в последней, проблема уже ликвидирована. Однако в Bitdefender говорят, что в программное обеспечение Yahoo уже не менее месяца не вносилось никаких существенных изменений и проблема должна была существовать как минимум на протяжении этого срока.

Операторы хотят вернуть россиянам доступ к Netflix и нейросетям без VPN

Российские операторы связи обсуждают с властями возможность открыть пользователям доступ к зарубежным сервисам, которые формально не заблокированы в России, но всё равно недоступны без VPN. Об этом на полях ПМЭФ рассказал генеральный директор «Билайна» Сергей Анохин.

По его словам, идея так называемых белых списков VPN, которую он ранее озвучивал публично, получила поддержку и теперь развивается дальше. Впрочем, речь идёт уже не совсем о VPN.

Как пояснил Анохин, операторы предлагают дать пользователям возможность напрямую открывать отдельные зарубежные сервисы, не прибегая к обходным инструментам. В качестве примеров он назвал Netflix и популярные нейросети.

«Есть сервисы, которые не подпали под ограничения со стороны Роскомнадзора за неисполнение российского законодательства, но приняли решение не работать в России. Например, ряд развлекательных сервисов, тот же Netflix, нейронные сети. Они востребованы российскими пользователями, но, чтобы ими пользоваться, нужен VPN», — отметил глава «Билайна».

Анохин считает, что у операторов есть понимание, как технически реализовать подобный механизм.

Если идея будет одобрена, может появиться своеобразный список зарубежных сервисов, доступ к которым российские пользователи смогут получать без VPN, несмотря на действующие географические ограничения со стороны самих площадок.

Фактически речь идёт о попытке решить парадоксальную ситуацию, когда сервис не запрещён российскими властями, но воспользоваться им всё равно нельзя без дополнительных инструментов.

Впрочем, до практической реализации пока далеко. Никаких сроков, перечня сервисов или технических деталей участники обсуждения не раскрывают.

RSS: Новости на портале Anti-Malware.ru