Многочисленные уязвимости обнаружены в расширении Pocket для Firefox

Многочисленные уязвимости обнаружены в расширении Pocket для Firefox

Проведя поверхностный анализ защищённости службы Pocket, исследователь выявил серию серьёзных уязвимостей, демонстрирующих халатное отношение разработчиков к защите данных пользователей и показывающих, что при разработке не уделялось должного внимания безопасности.

В частности, через манипуляцию с URL "file://" оказалось возможным получить содержимое системных файлов из серверных окружений Amazon EC2, которые используются для обеспечения работы Pocket.

Проблема была обнаружена после попытки отложить в Pocket ссылку "http://127.0.0.1/server-status", что привело к появлению на другом синхронизированном устройстве содержимого страницы со статистикой работы сервера. Кроме того, был продемонстрирован URL, добавление которого в очередь Pocket приводит к редиректу на "file:///etc/passwd" и позволяет получить содержимое файла /etc/passwd серверов Pocket. Этим методом можно получить доступ для чтения других файлов с с сервера, например, SSH-ключей. Более того, проверка параметров текущего процесса через получение содержимого /proc/self/status показала, что выполняющий запрос процесс выполняется с правами root, что даёт возможность получить полный контроль над сервером, сообщает opennet.ru.

Проблемы с Pocket заслуживают внимания в силу интеграции поддержки данной службы непосредственно в Firefox. Начиная с версии 38.0.5 в Firefox были встроены средства обращения к службе Pocket, которая позволяет отложить страницы, чтобы вернуться к ним когда появится время, в том числе с других устройств. Данное нововведение вызвало неоднозначную реакцию в сообществе и требования исключить поддержку Pocket из основного состава Firefox, ограничив возможность работы с ним как с внешним дополнением. Главным образом, недовольство связано с тем, что Pocket является проприетарной разработкой и его встраивание в Firefox воспринимается как продвижение одного из сторонних коммерческих проектов, пренебрежение персональными данными пользователей и навязывание лишней функциональности, востребованной лишь небольшой категорией пользователей.

Выявленные уязвимости лишний раз указали на то, что проприетарным службам, реализация которых не может быть проконтролирована сообществом, не следует слепо доверять данные пользователей. Информация об уязвимости опубликована после устранения проблемы на стороне Pocket, тем не менее, выявленные проблемы красноречиво говорят об уровне защиты данного сервиса.

Дополнение: Судя по странице с информацией о порядке уведомления администрации Pocket об уязвимостях, в 2015 году поступило 42 уведомления о проблемах с безопасностью в Pocket, в 2014 - 63 уведомления, в 2013 - 53. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники стали в 16 раз чаще звонить с поддельных номеров из-за рубежа

За последнюю неделю количество фейковых звонков с иностранных номеров в Россию выросло в 16 раз. Об этом рассказали в Сбере. Всплеск удалось заметить в том числе благодаря пользователям, которые отправляли жалобы через раздел «Сообщи о мошеннике» в приложении СберБанк Онлайн.

Такие звонки — не новость: злоумышленники давно используют облачные АТС, где можно быстро взять в аренду номер с кодом другой страны.

Чаще всего — европейских. Иногда — стран с «похожими» номерами (например, +84 95), чтобы выглядело более правдоподобно. Всё это делается через IP-телефонию, что позволяет обходиться без операторов сотовой связи и затрудняет блокировку.

Зампред правления Сбера Станислав Кузнецов отметил, что несмотря на резкий рост таких звонков, в общем объёме мошеннических вызовов их пока немного. Антифрод-система банка их фиксирует и ставит подозрительные операции на усиленный контроль — благодаря этому удаётся избегать хищений.

Но в банке всё равно призывают не терять бдительность:

«Если вам звонят с незнакомого номера из-за границы — просто не отвечайте. Если у вас нет родных или деловых контактов за рубежом, то такие звонки почти наверняка мошеннические».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru