Mozilla исправит уязвимость нулевого дня в Firefox

Mozilla исправит уязвимость нулевого дня в Firefox

Mozilla выпустит патч, исправляющий уязвимость нулевого дня, позволяющую злоумышленникам, обладающим достаточными ресурсами провести атаку посредника (man-in-the-middle). Это также влияет на анонимность сети Tor.

Уязвимость была замечена исследователями, которые описывали атаки на Tor до выпуска патча в версии 6.0.5.

«Эта уязвимость позволяет злоумышленникам, при условии наличия у них сертификата для addons.mozilla.org, выдать себя за сервера Mozilla и выдать пользователям вредоносные обновления расщирений» - говорит разработчик Tor Джордж Коппен (Georg Koppen).

«Это может привести к выполнению произвольного кода на атакуемой системе. Конечно, получить такой сертификат довольно сложно, но вполне под силу серьезным структурам вроде какого-либо государства».

Исследователь в области безопасности Movrcx детально описал эту уязвимость. По его оценкам, чтобы провести такого вида атаку, злоумышленники должны потратить в районе 100 000 $.

«Кроме того, эта уязвимость позволяет злоумышленнику атаковать пользователей браузера Tor» - пишет эксперт.

Высокие затраты на проведения такой атаки обусловлены необходимостью получения законного TLS-сертификата для addons.mozilla.org. По словам Movrcx, сделать это сложно, но не невозможно.

Независимый исследователь в области безопасности Райан Дафф (Ryan Duff), интересующийся кроссплатформенными атаками, которые приводят к удаленному выполнению кода, говорит, что Firefox использует собственную версию ключа, что и создает вектор для атаки.

«Firefox использует свой собственный статический метод генерации ключа для своих сертификатов вместо использования HPKP. Оказалось, что статический метод гораздо слабее метода HPKP и отсюда вытекают возможности для атак».

Mozilla выпустит исправление в новом стабильном релизе 20 сентября.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Греф: Киберпреступники ни разу не смогли успешно атаковать Сбербанк

Герман Греф, возглавляющий крупнейшую кредитную организацию страны — Сбербанк, заявил, что киберпреступникам еще ни разу не удалось успешно атаковать его банк. Более того, по словам Грефа, злоумышленники даже не смогли пройти дальше первого контура защиты систем Сбербанка.

Глава финансовой организации подчеркнул, что попытки проникнуть в системы Сбербанка предпринимаются преступниками регулярно. Однако на данный момент их усилия не привели к желаемым результатам.

«Против нас проводятся регулярные атаки. Пока до сего момента не было ни одного случая успешной атаки», — передали СМИ слова Грефа.

Всего банк располагает тремя контурами защиты от кибератак, но даже первый «хакеры» так и не смогли осилить, утверждает Герман Греф.

«Не то, чтобы за третий контур защиты, это в принципе невозможно, даже за первый контур защиты не проникали хакеры».

Также глава Сбербанка дал понять, что в кредитной организации поставили задачу — обеспечить нулевые потери от кибермошенников.

«У нас неизменный KPI — это ноль рублей потерь от кибермошенников. И мы ни разу этот KPI не нарушали», — заключил Греф.

Несмотря на эти заявления в конце прошлого месяца Сбербанк стал жертвой серии мощных DDoS-атак. Бесконечные запросы поступали со 100 серверов, расположенных в шести разных странах.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru