В почтовой системе Yahoo обнаружена серьезная уязвимость

В почтовой системе Yahoo обнаружена серьезная уязвимость

Вслед за резонансными взломами The Wall Street Journal, The New York Times и Twitter, компания Yahoo признала, что ее почтовый сервис также мог быть взломан, а взломанные аккаунты использованы для рассылки спама. Сложно сказать, являются ли предыдущие взломы и взлом Yahoo связанными между собой, но цели последнего взлома, судя по всему, отличаются от ранее совершенных взломов.

Согласно информации антивирусной компании Bitdefender, в случае с Yahoo, хакеры использовали ряд уязвимостей в безопасности программного обеспечения почтового сервиса Yahoo и перехватывали сессионные файлы-cookie, что позволяло им захватить контроль над пользовательским интерфейсом и рассылать через него спам, используя также систему сокращения ссылок bit.ly. Изначально кампания была ориентирована на западных пользователей, так как использовала только мошеннические письма в стиле сообщений новостного сайта MSNBC, позже мошенники начали рассылать традиционные для таких кампаний предложения о домашнем заработке через интернет, пишет cybersecurity.ru.

В Bitdefender говорят, что по их данным мошенники использовали для проведения атаки специальный код на JavaScript, который использовал XSS-уязвимость, впервые появившуюся в Yahoo Developer Network и связанную с передачей cookie. Ранее многие эксперты по сетевой безопаности неоднократно критиковали компании за использование сессионных cookie-файлов без соответствующего механизма защиты. Так, в случае с атакой имело место использования так называемых supercookie, то есть сессионных файлов, которые выдаются сервером при авторизации пользователя на двух и более разных порталах одного оператора. Как правило, такие файлы-идентификаторы связаны с поддоменами и выдаются основными доменами в отношении доменов более низкого уровня.

Подобная система организации логична и удобна, но лишь тогда, когда у оператора программное обеспечение, лишенное XSS-уязвимостей.

Так, в случае с Yahoo, использование файлов от developer.yahoo.com в некоторых случаях давало расширенный доступ к mail.yahoo.com, что является уязвимостью. Ранее нечто подобное было найдено во многопользовательской версии системы Wordpress.

В Bitdefender говорят, что обнаружили проблему с сайтами Yahoo в среду и в четверг уведомили об этом саму интернет-компанию. Сейчас, как заверяют в последней, проблема уже ликвидирована. Однако в Bitdefender говорят, что в программное обеспечение Yahoo уже не менее месяца не вносилось никаких существенных изменений и проблема должна была существовать как минимум на протяжении этого срока.

В России хотят ограничить оплату сервисов Apple ради возврата приложений

У Apple в России может появиться ещё одна точка давления. В Минцифры на совещании с операторами «большой четвёрки» 28 марта обсуждали возможность временно приостановить оплату сервисов Apple со счёта мобильного телефона. Идея в том, чтобы подтолкнуть компанию к возвращению популярных российских приложений в App Store.

Как утверждает источник РИА Новости, речь идёт о попытке повлиять на Apple через деньги: если ограничить один из привычных способов оплаты, потери для компании могут оказаться достаточно чувствительными, чтобы она стала активнее исполнять требования российского законодательства.

В качестве претензий к Apple собеседник агентства перечислил сразу несколько тем. Во-первых, с 2022 года компания, по его словам, удалила из App Store десятки российских приложений — в том числе банковские, картографические, авиационные сервисы, классифайды и агрегаторы.

Во-вторых, Apple, как утверждается, не исполняет решение ФАС по так называемому «окну выбора» поисковика по умолчанию на iPhone и iPad.

Кроме того, источник РИА Новости заявил, что компания по-прежнему не выполняет требование о возможности установки российского магазина приложений RuStore на устройства Apple.

Ещё одна претензия касается VPN-приложений: по словам собеседника агентства, Apple не в полной мере исполняет требования Роскомнадзора по их удалению из российского App Store. При этом тема VPN для регулятора остаётся чувствительной уже не первый год.

Пока речь идёт именно об обсуждении возможной меры, а не о принятом решении. Но сам факт появления такого сценария показывает, что спор вокруг App Store, российских приложений и правил работы Apple в стране явно выходит на новый уровень.

Если эту идею всё же доведут до реализации, для пользователей это может означать новые ограничения при оплате сервисов Apple через мобильный счёт. А для самой компании — ещё один сигнал, что вопросы локального регулирования в России всё труднее игнорировать.

RSS: Новости на портале Anti-Malware.ru