Переименовав устройство Apple, можно взломать App Store и iTunes

Переименовав устройство Apple, можно взломать App Store и iTunes

Представитель компании Vulnerability Lab Бенджамин Кунц Меджри (Benjamin Kunz Mejri) сообщил об обнаружении критической уязвимости в App Store и iTunes. Брешь на стороне приложения затрагивает систему инвойсов, которая достаточно странно работает со значением name value (имя устройства).

Если вместо имени прописать вредоносный код, он будет исполнен.

Согласно отчету, представленному Меджри, когда пользователь совершает покупку в одном из магазинов Apple, бекенд обрабатывает некоторые данные устройства, с которого совершается покупка, чтобы сгенерировать инвойс. Если переименовать устройство, поместив скриптованный код вместо имени, он будет выполнен, пишет xakep.ru.

Меджри пишет, что угроза действительно существенна: «Инвойс предоставляется обеим сторонам (продавцу и покупателю), что создает огромный риск как для покупателей и продавцов, так и для менеджеров\разработчиков сайтов Apple. Уязвимость также позволяет покупателю прикинуться продавцом, используя то же самое имя, чтобы скомпрометировать работу сервиса».

Помимо перечисленных исследователем рисков, уязвимость может быть использована для взлома сессий пользователей, исполнения длительных фишинговых атак, перенаправления пользователей на сторонние ресурсы и манипуляций с уязвимыми или подключенными сервисными модулями.

Подпишитесь на новости

Делегировать ИИ не получится: руководителям добавили новые задачи

Установить сотрудникам ИИ-ассистента и продолжить руководить по старинке — слабый план. СберУниверситет представил отчёт о том, как искусственный интеллект меняет управление. Из 61 предложенного действия 37 авторы относят к новым практикам. Начальнику тоже придётся обновиться.

В опубликованном исследовании изменения разложены по модели «Перестать — Изменить — Начать». Основа — анализ более 8500 публикаций из свыше 80 российских и зарубежных источников.

Исследователи выделили 15 трендов и 19 ключевых изменений. Среди них — сокращение горизонта стратегирования, отказ от совещаний ради обмена статусами и переход ИИ-трансформации в зону личной ответственности CEO.

Новые обязанности включают определение границ самостоятельности ИИ, оценку экономического эффекта, контроль качества данных и организацию совместной работы людей с агентами. При этом команде нужно помочь адаптироваться и сохранить важные компетенции.

Цифру более 60% авторы связывают с набором действий в своём отчёте: 37 из 61. Это не замер доли новой работы у каждого российского руководителя.

Таким образом, осваивать новое придётся одновременно с отказом от привычного. Даже если привычное — любимая часовая встреча, на которой десять человек по очереди говорят, что всё ещё работают.

RSS: Новости на портале Anti-Malware.ru