Уязвимость подмены URL обнаружена во многих браузерах

Уязвимость подмены URL обнаружена во многих браузерах

Уязвимость подмены URL обнаружена во многих браузерах

Chrome, Firefox и другие браузеры имеют уязвимости, связанные с подменой URL в адресной строке. Некоторые из вендоров по-прежнему работают над решением проблемы. Уязвимость обнаружил пакистанский исследователь Rafay Baloch.

Проблема проявляется на Chrome для Android, в частности, связана с тем, как пишутся арабский текст и иврит – справа налево. Если URL-адрес атакующего начинается с IP-адреса и содержит арабский символ, путь и хост меняются местами.

Например, URL 127.0.0.1/ا/http: //example.com превращается в http: //example.com/‭ا/127.0.0.1 так как содержит символ “ا”, арабскую букву. Метод работает и с другими арабскими буквами.

«Часть IP-адреса может быть легко спрятана для мобильных браузеров, если URL длинный (google.com/fakepath/fakepath/fakepath/... /127.0.0.1) - объясняет Baloch в своем блоге - Для того, чтобы сделать атаку более реалистичной, злоумышленник может использовать символ Юникода в виде замка, якобы присутствует SSL».

Похожая уязвимость была найдена и в Firefox для Android (CVE-2016-5267). В случае с Firefox, URL не должен начинаться с IP-адреса, единственным условием является наличие арабских символов. Например, http: //عربي.امارات/google.com/test/test/test становится google.com/test/test/test/عربي.امارات.

Google знает об этой проблеме уже более года. Baloch сказал, что проинформировал Google о проблеме в мае и компания откликнулась в конце июня. Mozilla исправили уязвимость в Firefox для Android 2-го августа.

Baloch также утверждает, что другие браузеры тоже уязвимы, в том числе десктопные. В случае Firefox и Chrome, уязвимость влияет только на мобильные версии.

Meta не сможет оставить в WhatsApp только свой ИИ

Meta (признана экстремисткой и запрещена в России) не может ограничивать доступ сторонних ИИ-помощников к WhatsApp и оставлять в мессенджере только собственный ИИ. К такому выводу пришла Европейская комиссия, объявив о введении временных антимонопольных мер против компании.

Речь идёт о предварительном этапе расследования, которое Еврокомиссия запустила ещё в декабре.

Поводом стали изменения в условиях использования WhatsApp, вступившие в силу в январе. После них Meta AI оказался единственным ИИ-помощником, доступным в мессенджере, тогда как конкуренты фактически были вытеснены с платформы.

В Еврокомиссии считают, что такая политика может привести к «серьёзному и необратимому ущербу для рынка». По мнению регулятора, Meta, пользуясь доминирующим положением WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) — самого популярного мессенджера во многих странах ЕС, — создаёт барьеры для выхода и развития других ИИ-сервисов.

«Поведение Meta грозит необратимой маргинализацией более мелких игроков на рынке универсальных ИИ-ассистентов», — говорится в заявлении Комиссии.

Примечательно, что временные меры — редкий инструмент для европейского антимонопольного ведомства. В последний раз его применяли ещё в 2019 году, когда Еврокомиссия вмешалась в дело против Broadcom. Это подчёркивает, насколько серьёзными регулятор считает риски вокруг ИИ-доступа к WhatsApp.

При этом решение Еврокомиссии не распространяется на Италию. Итальянский антимонопольный регулятор ранее запустил собственное расследование и уже обязал Meta сохранить доступ конкурирующих сервисов к WhatsApp в рамках отдельного дела.

Теперь Meta получит возможность официально ответить на предварительные претензии Еврокомиссии. Само антимонопольное расследование при этом продолжается, и его итоговые выводы могут привести к более жёстким мерам.

RSS: Новости на портале Anti-Malware.ru