Jabber-клиент Cisco уязвим перед атаками типа man-in-the-middle

Jabber-клиент Cisco уязвим перед атаками типа man-in-the-middle

Jabber-клиент Cisco уязвим перед атаками типа man-in-the-middle

Компания Cisco сообщает, что ее Jabber-клиент для Windows содержит серьезную уязвимость. Используя брешь, атакующие могут произвести даунгрейд настроек STARTTLS, принудительно перевести общение в формат простого текста, скомпрометировать личные разговоры пользователей и похитить учетные данные.

Уязвимость обнаружили специалисты компании Synacktiv, проблеме был присвоен идентификатор CVE-2015-6409.

Проблема коснулась Jabber-клиента Cisco для Windows, который широко применяется в корпоративном сегменте.  Уязвимы Cisco Jabber для Windows, Cisco Jabber для iPhone и iPad, а также клиент для Android, то есть версии клиента 9.x, 10.6.x, 11.0.x и 11.1.x.

Согласно данным Synacktiv, злоумышленник может осуществить простейшую атаку man-in-the-middle, поместив себя между клиентом и сервером. Используя брешь в клиенте, приложение можно обмануть и заставить его поделиться конфиденциальной информацией. Исследователи пишут, что теоретически атакующий способен перехватить логин и пароль жертвы, ее разговоры и передаваемые файлы. Кроме того, злоумышленник может вообще подменить сообщения прошедшие «контрольную» MitM-точку, передает xakep.ru.

 

cisco-jabber-implementation-flawed-exposes-users-to-mitm-attacks-498412-2

 

Подобная атака возможна благодаря тому, что клиент не перепроверяет, было бы соединение с сервером установлено с использованием TLS. То есть злоумышленники могут скомпрометировать хотспот Wi-Fi, к которому подключается пользователь, и обвести клиент вокруг пальца.

Исследователи также опубликовали proof-of-concept эксплоита.

Компания Cisco выпустила исправление, представив клиент версии 1.0. Патча или возможности обойти проблему для текущих версий клиента не существует, так что всем пользователям рекомендуется обновиться.

Яндекс открыл карту с топливом и очередями на АЗС для всех водителей

Яндекс открыл интерактивную карту с данными о наличии топлива и очередях на заправках для всех пользователей «Яндекс Go» и приложения «Яндекс Заправки». Раньше такой инструмент был доступен только водителям такси, а теперь посмотреть, где есть нужное топливо и где не придётся стоять вечность, смогут обычные автомобилисты.

На карте можно увидеть АЗС, где водители заправлялись недавно, отфильтровать станции по нужному типу топлива и проверить, есть ли очередь.

Информация об очередях пока работает в тестовом режиме в Москве и Санкт-Петербурге, но в ближайшие недели её обещают запустить и в других городах.

 

 

Чтобы понять, что происходит на конкретной заправке, Яндекс собирает данные из разных источников. В ход идут технология, похожая на «Пробки», информация из «Карт», заказы топлива через «Яндекс Заправки» и опросы водителей — как тех, кто уже заправился, так и тех, кто просто проезжал мимо.

Идея простая: меньше гаданий в стиле «доеду или встану», больше конкретики на карте. Особенно полезно это может быть в моменты повышенного спроса, когда одна АЗС уже собирает хвост из машин, а на другой поблизости всё ещё можно спокойно залить бак.

Функция доступна в «Яндекс Go» и «Яндекс Заправках».

RSS: Новости на портале Anti-Malware.ru