Netcraft обнаружила серьезную уязвимость на сайте Yahoo

Netcraft обнаружила серьезную уязвимость на сайте Yahoo

Исследовательская компания Netcraft сообщила об обнаружении серьезной уязвимости на веб-сайте Yahoo. Эксплуатация уязвимости ведет к перехвату идентификационных файлов cookie, которые сервер отдает легальным пользователям. Перехватив указанные файлы-cookie, злоумышленник может выступать от имени авторизованного пользователя сайта yahoo.com и его дочерних проектов.


В Netcraft сообщают, что перехват возможен из-за наличия XSS-уязвимости на сайте Yahoo HotJobs (hotjobs.yahoo.com). На данном сайте атакующий может внедрить злонамеренный JavaScript, который и похитит искомые сведения. Код на JavaScript позволяет перехватывать как cookie с сайта HotHobs, так и с общего портала Yahoo. Затем скрипт передает полученные данные по указанному адресу.

"Когда сайт использует cookie для открытия сессий аутентификации, чрезвычайно важно защищать значения файлов-cookie и убедиться, что они недоступны третьей стороне. Зачастую при помощи XSS-уязвимостей доступ к этим данным имеют хакеры, которые и получают контроль над закрытой часть сайтов или пользовательскими данными", - говорят в Netcraft.

Специалисты компании говорят, что в случае с Yahoo для предотвращения перехвата в настройках передачи cookie достаточно указывать параметр HttpOnly, его понимают все современные браузеры.

Ранее в этом же году схожая уязвимость была блокирована на еще одном сайте Yahoo - ychat.help.yahoo.com, где помимо cookie можно было для большей верности получить и подлинный SSL-сертификат. Тогда некие испанские злоумышленники уже успели воспользоваться неосмотрительностью администраторов портала.

В обоих случаях, говорят в Netcraft, cookie Yahoo позволяли хакерам подделывать пользовательские сессии, позволяющие получить доступ к содержимому почты Yahoo Mail и других персональных сервисов.

Источник

С 1 апреля в России отключат пополнение Apple ID со счёта телефона

Для российских пользователей iPhone с 1 апреля может исчезнуть ещё один привычный способ оплаты сервисов Apple. операторы «большой четвёрки» получили указание отключить возможность пополнять баланс Apple ID со счёта мобильного телефона. Обсуждение этого вопроса, по данным издания, прошло 28 марта на совещании с главой Минцифры Максутом Шадаевым.

Как пишет РБК со ссылкой на три источника на телеком-рынке, среди причин такого шага называлась в том числе необходимость затруднить оплату VPN-сервисов.

Ранее мы писали, что 28 марта обсуждали возможность временно приостановить оплату сервисов Apple со счёта мобильного телефона. Идея в том, чтобы подтолкнуть компанию к возвращению популярных российских приложений в App Store.

Другими словами, история тут не только про Apple как таковую, но и про более широкий контроль над цифровыми сервисами, которые оплачиваются через экосистему компании.

На данный момент прямое пополнение Apple ID с мобильного счёта доступно у МТС и «ВымпелКома» под брендом «Билайн». У «МегаФона» и T2 такая схема тоже есть, но уже через партнёрские механизмы. Если решение действительно вступит в силу, пользователи iPhone в России лишатся ещё одного оставшегося рабочего способа оплачивать подписки, приложения и другие покупки внутри сервисов Apple.

Сама по себе эта опция стала особенно востребованной после 2022 года, когда привычная оплата российских карт в экосистеме Apple перестала работать из-за санкционных ограничений. На этом фоне мобильный счёт для многих оказался удобным обходным вариантом, особенно когда нужно было оплатить подписку или пополнить внутренний баланс аккаунта.

Пока официальных подробных комментариев немного. Представители «МегаФона», T2 и «ВымпелКома» от комментариев отказались. Запросы также были направлены в МТС и Минцифры. Так что формально история пока выглядит как информация от источников, но сама новость уже вызвала заметный резонанс — слишком уж чувствительная тема для владельцев iPhone в России.

Если всё произойдёт именно так, то уже с 1 апреля пользователям придётся искать новые способы пополнения Apple ID. А это значит, что доступ к платным сервисам Apple в России снова станет менее удобным.

RSS: Новости на портале Anti-Malware.ru