Специалисты CERT обнаружили проблему с cookie во всех современных браузерах

Специалисты CERT обнаружили проблему с cookie во всех современных браузерах

Команда ученых из Computer Emergency Response Team (CERT) опубликовала отчет, согласно которому, реализация хранения и использования cookie-файлов практически во всех современных браузерах ставит безопасность системы под вопрос.

Ученые рассказали, что производители примеряют стандарт RFC 6265, отвечающий за браузерные cookies, неверно. Проблема заключается в следующем. Полученные через обычный HTTP-запрос cookie-файлы могут отмечаться как «защищенные», то есть имеют secure flag. По идее, такие cookie должны передаваться только через HTTPS-соединение, пишет xakep.ru.

Однако исследователи выявили, что многие современные браузеры используют любые cookie-файлы в ходе HTTPS-соединения, не проверяя при этом их источник (так называемый cookie forcing). В том числе, принимаются и «защищенные» cookie, подложенные в систему ранее. Это позволяет атакующему осуществить man-in-the-middle атаку, внедрив через HTTP-запрос фальшивые cookie, которые будут маскироваться под cookie-файлы других, легитимных сайтов, перезаписывая настоящие. Такую подмену будет сложно заметить даже тем, кто регулярно проверяет списки cookie в браузере и ищет в них подозрительное. Далее, при помощи такой подделки, можно легко перехватить приватную информацию пользователя, в ходе HTTPS-сессии.

Впервые о проблеме рассказали еще в августе 2015 года, на конференции USENIX 24, так что разработчики браузеров уже успели подготовиться и выпустить «заплатки». Проблеме были подвержены буквально все браузеры: Safari, Firefox, Chrome, Internet Explorer, Edge, Opera и Vivaldi. От бага избавлены лишь самые последние их версии.

Специалисты CERT также рекомендуют вебмастерам использовать HSTS (HTTP Strict Transport Security) для доменов верхнего уровня.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Яндекс запустил сервис для управления доступом к корпоративным веб-ресурсам

Yandex B2B Tech запустил новый сервис — Yandex Identity Hub. Его основная задача — помочь компаниям безопасно управлять доступом сотрудников к веб-приложениям. В основе лежат механизмы единого входа и многофакторной аутентификации, которые снижают риск взлома аккаунтов и утечек данных.

Сервис работает по модели SaaS и подходит как для облачных, так и для локальных и гибридных инфраструктур. Это важно, потому что всё больше компаний комбинируют разные типы ИТ-сред — с переходом на облачные и SaaS-решения растёт и интерес к более гибким способам управления доступом.

По данным Security Operation Center в Yandex Cloud, за первые шесть месяцев 2025 года 38% киберинцидентов начинались с компрометации учётных записей. Чаще всего причиной становились слабые пароли, плохой контроль за правами доступа и незащищённые аккаунты.

Сервис Yandex Identity Hub представили 19 июня на конференции Cloud Security Day. На ней также рассказали об обновлении другого сервиса — Yandex Smart Web Security. Теперь он работает в режиме Reverse Proxy, то есть может защищать ресурсы не только внутри Яндекс.Облака, но и за его пределами, включая гибридные конфигурации.

Не так давно мы рассказывали, кому и зачем нужны системы контроля доступа к неструктурированным данным (DAG). Кроме того, прогнозировали, что ждёт рынок управления учётными записями в ближайшие два года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru