Yahoo исправила серьезную уязвимость

Yahoo исправила серьезную уязвимость

Yahoo исправила серьезную уязвимость

Компания Yahoo исправила уязвимость в своем почтовом сервисе. Проблему обнаружил  сотрудник компании Vulnerability Lab Лоренс Эмер (Lawrence Amer), он заметил, что используя классическую версию почтового UI можно с легкостью подменить имя отправителя.

Пару лет назад, когда Марисса Майер заступила на пост руководителя компании, сервис Yahoo Mail претерпел существенные изменения. В частности, был серьезно переработан веб-интерфейс почты. Чтобы не шокировать пользователей радикальными переменами, новый интерфейс довольно долго сосуществовал со старой версий, а затем Yahoo представила так называемый Basic UI, который еще называют классическим. Это версия гораздо «легче» обычной, она куда менее перегружена JavaScript, сообщает xakep.ru.

Лоренс Эмер пишет, что модуль compose message («написать сообщение») в классической версии веб-интерфейса был уязвим перед простейшим POST/GET методом атак. По сути, любой желающий мог переключиться на Basic UI, открыть страницу в любом браузере, включить инструменты разработчика и отредактировать параметр [from address ‘send name ‘], вписав туда что угодно, к примеру, Yahoo Security. В итоге получатель письма увидит именно это имя в поле «от». Самое очевидное применение такой уязвимости – рассылка фишинговых писем, выглядящих весьма правдоподобно.

Уязвимость была обнаружена еще в октябре 2015 года. На исправление проблемы у Yahoo и Эмера, который помогал специалистам компании, ушло почти полгода – полностью баг устранили только 29 февраля 2016 года. Ниже можно увидеть proof-of-concept видео, снятое исследователем.

Подпишитесь на новости

Android 17 запретит приложениям внезапно орать в фоне

Google решила покончить с одной из самых мерзких мобильных неожиданностей: когда давно свёрнутое приложение или забытая вкладка браузера внезапно начинает воспроизводить звук. В Android 17 для этого появился системный механизм Background Audio Hardening.

Теперь приложение сможет включать аудио, запрашивать аудиофокус и менять громкость только при видимом на экране интерфейсе либо при корректно запущенной foreground-службе.

Ограничение действует на все приложения в Android 17, даже если они пока не адаптированы под API 37.

Если программа попытается шуметь из неподходящего фонового состояния, система просто проигнорирует её запрос. Воспроизведение и изменение громкости будут заблокированы без ошибки или падения приложения, а запрос аудиофокуса завершится отказом.

Как объясняет Google, нововведение должно остановить случайный запуск звука. Например, приложение могло зависнуть из-за проблем с сетью, быть заморожено системой, а затем очнуться через несколько часов и внезапно продолжить воспроизведение. Другой сценарий — потерянная медиасессия, которая продолжает жить уже без видимого интерфейса и понятной кнопки остановки.

Изменение работает на уровне всей операционной системы, поэтому это не специальное лекарство для Chrome, YouTube или сайтов с наглым автовоспроизведением. Под новые правила попадут браузеры, игры, медиаплееры и остальные приложения.

Побочный эффект тоже имеется. Программы, которым действительно нужно играть музыку или подкасты при выключенном экране, должны правильно использовать foreground-службу для медиавоспроизведения. Разработчикам с кривой реализацией придётся переписать код, иначе Android молча прикрутит им громкость.

Google также предусмотрела тестирование через ADB: защиту можно включить, отключить или перевести в жёсткий режим, при котором некорректные обращения к аудиоинтерфейсам вызывают явные ошибки.

RSS: Новости на портале Anti-Malware.ru