Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Исследователь заработал $10 000, обнаружив XSS-уязвимость в почте Yahoo!

Сотрудник финской компании Klikki Oy Йоуко Пюннёнен (Jouko Pynnönen) обнаружил XSS-уязвимость в веб-интерфейсе почтового сервиса Yahoo. Баг позволял злоумышленнику отправить жертве письмо, содержащее скрытый вредоносный код, который исполнялся сразу же, как только жертва читала послание.

Пюннёнен нашел уязвимость в конце декабря и немедленно сообщил о проблеме представителям Yahoo. Баг оказался серьезным: при работе с веб-интерфейсом почтовый фильтр Yahoo! Mail функционировал некорректно, допуская внедрение вредоносного кода в HTML-письма. Данный XSS-баг не требует манипуляций с URL, что довольно нетипично для подобных уязвимостей. Исследователь заметил, что фильтр удаляет значения булевых атрибутов, но сам атрибут и последующий знак равенства при этом сохраняются. А значит, фильтр можно обмануть, пишет xakep.ru.

К примеру, если вставить в письмо изображение, используя тег <IMG>, а также применить атрибут «ismap», можно добиться выполнения произвольного JavaScript кода.

Yahoo! Mail трансформирует этот код таким образом, что когда жертва откроет письмо, код в атрибуте «onmouseover» будет выполнен без участия пользователя.

Исследователь представил proof-of-concept видео, где привел несколько возможных примеров эксплуатации уязвимости. Можно не только вставить в HTML-сообщение «невидимый» код. К примеру, можно внедрить вредоносный код в чужую подпись, создав таким образом распространяющего самостоятельно червя, который продолжит вставлять себя в подписи следующих жертв.

Пюннёнен проинформировал компанию о проблеме 26 декабря 2015 года, и 6 января 2016 года баг был устранен. Теперь знак равенства тоже удаляется фильтром, так что код из примера выше будет выглядеть следующим образом.

За эту XSS-уязвимость Yahoo выплатила исследователю $10 000, и это одно из самых крупных вознаграждений за всю историю существования bug bounty программы Yahoo. Представители компании подчеркнули, что данная уязвимость, ее последующий обзор, а также действия, оперативно предпринятые командной разработчиков Yahoo, являются идеальным примером того, зачем нужны программы вознаграждений за баги и как они должны работать.

Российский ИБ-рынок вырос до 211 млрд рублей

После нескольких лет стремительного роста российский рынок информационной безопасности начал переходить в более спокойную и зрелую фазу. Такой вывод содержится в ежегодном аналитическом отчете «Пульс», который подготовила компания «Код Безопасности».

Если в 2022 году отечественный ИБ-рынок вырос сразу на 56%, а в 2023-м — еще на 35%, то в 2025 году темпы заметно снизились. Рост составил 17%, а общий объем рынка достиг 211 млрд рублей.

Самым крупным сегментом остается сетевая безопасность. На нее приходится 23% всего рынка, а объем направления достиг 48 млрд рублей. Однако и здесь заметно замедление: если годом ранее сегмент прибавил 10 млрд рублей, то теперь — только 7 млрд.

Похожая ситуация наблюдается на рынках российских операционных систем и виртуализации. Оба направления выросли символически — на 4% и 5% соответственно, достигнув объема около 13 млрд рублей каждое.

Зато уверенно чувствует себя рынок DLP-систем, предназначенных для защиты от утечек данных. За год сегмент вырос на 26%, до 17 млрд рублей. Аналитики прогнозируют, что к 2030 году его объем может увеличиться до 35-42 млрд рублей. Причины очевидны: ужесточение регулирования и рост ценности данных для бизнеса.

Но главный вывод исследования касается не отдельных технологий, а состояния рынка в целом. По мнению аналитиков, российская отрасль кибербезопасности постепенно выходит из режима экстренного импортозамещения и входит в фазу зрелой конкуренции.

На это указывает и снижение концентрации рынка. Совокупная доля десяти крупнейших ИБ-вендоров сократилась на 5% второй год подряд. Это означает, что заказчики все чаще рассматривают альтернативных поставщиков, а новым игрокам становится проще конкурировать за клиентов.

Как отмечают в «Коде Безопасности», регуляторные требования больше не являются единственным драйвером продаж. Теперь компании гораздо внимательнее оценивают эффективность решений, их функциональность и экономическую целесообразность.

RSS: Новости на портале Anti-Malware.ru