На сайте icq.com найдены XSS уязвимости

На сайте icq.com найдены XSS уязвимости

Несколько дней назад на сайте icq.com было найдены две xss уязвимости, причем обе активные. 
Одна из уже закрытых уязвимостей имела места в профиле пользователей, в поле “О себе” вашего номера. Непосредственно из ICQ клиента можно было написать JS-код, который соответственно на странице сайта успешно выполнялся ( http://www.icq.com/user_profile/%Ваш_номер%/ ). Сейчас уязвимость закрыта, при чём отключением этого сервиса, то есть сейчас на любой номер выдается ошибка 404, но работает старый вид профилей ( http://www.icq.com/people/about_me.php?uin=%Ваш_номер% ).

Вторая уязвимость присутствовала в сервисе блогов ( http://blogs.icq.com/blogs/ ), причем недостаточно фильтровалось именно тело сообщения.

Однако похищенный cookies не позволяли ни поменять пароль ни войти на сайт, так как по всей видимости имели привязку к IP-адресу. Казалось бы в этом случае XSS уязвимости абсолютно бесполезно, но не тут то было. На самом деле на icq.com присутствует ещё один тип уязвимостей, менее используемый, однако не менее опасный, это CSRF уязвимости. Суть уязмиости заключалась в устновке секретных вопросов\ответов на номер, это возможно сделать прямой ссылкой:

https://www.icq.com/password/setqa_tx.php?qtype=user&qa1=custom&userq=%Вопрос%&answer1=%Ответ%&submit=Submit&zqq=

В свзяке с XSS уязвимостью вопросы можно было установить фактически любому пользователю icq.com

habrahabr.ru

Подпишитесь на новости

Android помогает рекламе узнавать вас. Один инструмент можно отключить

Вашему телефону не нужно сообщать рекламным приложениям имя владельца. Для узнавания устройства существует рекламный идентификатор — случайная строка, которую приложения могут использовать для рекламы и аналитики. Эдакий цифровой бейджик: фамилии нет, зато вас узнают.

В документации Google объясняется, что пользователь может сбросить или удалить этот идентификатор.

Во втором случае приложения, обращающиеся к соответствующему интерфейсу, получат строку из нулей.

Чтобы воспользоваться ей, откройте настройки Android, найдите раздел «Реклама» и выберите «Удалить рекламный идентификатор». В зависимости от производителя путь может отличаться; в инструкции Google указан маршрут через раздел «Конфиденциальность».

Сброс и удаление — разные действия. Сброс выдаёт новый идентификатор, удаление убирает доступ к нему.

Правда, реклама продолжит появляться, а удаление рекламного ID не отменяет остальные способы сбора данных. Google отдельно предупреждает: у приложений могут быть собственные настройки и другие идентификаторы.

Убрать один инструмент отслеживания можно. Устроить рекламной индустрии полную амнезию одним нажатием — пока нет.

RSS: Новости на портале Anti-Malware.ru