На сайте icq.com найдены XSS уязвимости

На сайте icq.com найдены XSS уязвимости

Несколько дней назад на сайте icq.com было найдены две xss уязвимости, причем обе активные. 
Одна из уже закрытых уязвимостей имела места в профиле пользователей, в поле “О себе” вашего номера. Непосредственно из ICQ клиента можно было написать JS-код, который соответственно на странице сайта успешно выполнялся ( http://www.icq.com/user_profile/%Ваш_номер%/ ). Сейчас уязвимость закрыта, при чём отключением этого сервиса, то есть сейчас на любой номер выдается ошибка 404, но работает старый вид профилей ( http://www.icq.com/people/about_me.php?uin=%Ваш_номер% ).

Вторая уязвимость присутствовала в сервисе блогов ( http://blogs.icq.com/blogs/ ), причем недостаточно фильтровалось именно тело сообщения.

Однако похищенный cookies не позволяли ни поменять пароль ни войти на сайт, так как по всей видимости имели привязку к IP-адресу. Казалось бы в этом случае XSS уязвимости абсолютно бесполезно, но не тут то было. На самом деле на icq.com присутствует ещё один тип уязвимостей, менее используемый, однако не менее опасный, это CSRF уязвимости. Суть уязмиости заключалась в устновке секретных вопросов\ответов на номер, это возможно сделать прямой ссылкой:

https://www.icq.com/password/setqa_tx.php?qtype=user&qa1=custom&userq=%Вопрос%&answer1=%Ответ%&submit=Submit&zqq=

В свзяке с XSS уязвимостью вопросы можно было установить фактически любому пользователю icq.com

habrahabr.ru

Суд начал дело экс-главы Уральских заводов о китайских радиостанциях

Замоскворецкий суд Москвы приступил к рассмотрению по существу уголовного дела в отношении бывшего генерального директора АО «Уральские заводы» Василя Мусина. Его обвиняют в поставке 843 комплектов радиостанций, собранных из китайских комплектующих, под видом российской продукции.

О начале судебного процесса сообщил «Коммерсант». Мусину вменяют часть 4 статьи 159 Уголовного кодекса РФ (мошенничество в особо крупном размере). По версии следствия, сумма ущерба составила около 50 млн рублей.

Уголовное дело было возбуждено Главным управлением Следственного комитета по Москве в июне 2024 года. По данным источников «Коммерсанта», первоначально в материалах дела фигурировали и владельцы компании, которые, как утверждается, были осведомлены о действиях менеджмента. Однако в итоге обвинения им предъявлены не были.

Мусина задержали через несколько дней после возбуждения дела и сразу же заключили под стражу. Суд неоднократно рассматривал ходатайства защиты об изменении меры пресечения, но каждый раз отказывал в их удовлетворении.

Радиостанции «Эрика» поставлялись в рамках гособоронзаказа. Для его получения в Центральное окружное управление материально-технического снабжения МВД, как утверждает следствие, были представлены недостоверные сведения о том, что радиостанции являются полностью собственной разработкой компании «Уральские радиостанции» — дочерней структуры АО «Уральские заводы».

Фактически же радиостанции «Эрика», по версии следствия, представляли собой китайские устройства Hytera. Программное обеспечение, включая преобразователи речи, также оставалось китайского происхождения.

«Преследовавшие корыстные цели руководители и собственники предприятия, заведомо зная о том, что планируемый к поставке товар не соответствует критерию страны происхождения, своими действиями причинили государству ущерб, заодно сорвав выполнение ГОЗ», — приводит издание выдержку из материалов следствия.

Сам Василь Мусин вину не признал. Защита называет необоснованными обвинения в продаже иностранной продукции под видом российской. По словам адвокатов, подобные претензии к предприятию выдвигались и ранее, однако в судах заводу удавалось доказать свою правоту. Кроме того, помимо МВД, радиостанции «Эрика» поставлялись и в другие ведомства, включая ФСБ и ФСИН России.

RSS: Новости на портале Anti-Malware.ru