Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Yahoo выплатили 10 000 $ за обнаружение критической уязвимости

Исследователь получил 10 000 $ за то, что нашел брешь в Yahoo! Mail. Для того чтобы воспользоваться этой уязвимостью, злоумышленник должен был заставить пользователя открыть специально созданное электронное письмо.

Почти год назад эксперт из Финляндии обнаружил XSS-уязвимость в веб-версии сервиса Yahoo! Mail. Эта брешь позволяла злоумышленнику выполнить вредоносный JavaScript-код, скрытый в электронных письмах.

Исследователь объяснил, что недостаток мог быть использован для пересылки сообщений электронной почты пользователей, изменения настроек их учетных записей и даже для создания почтового червя, который будет прикрепляться ко всем исходящим письмам. Брешь, за которую исследователь получил 10 000 $ существует из-за неправильной обработки кода в HTML-письмах.

Также эксперт, недавно еще раз взглянувший на почтовый сервис Yahoo обнаружил похожую дыру в безопасности. На этот раз она связана со вставкой кода в момент прикрепления к письму определенного типа контента.

Функция в Yahoo! Mail позволяет пользователям прикреплять к письмам файлы из облачных хранилищ, например, таких как Dropbox или Google Drive. Эксперт проанализировал вставляемый в письма код при использовании этой функции и обнаружил, что некоторые HTML-атрибуты имеют имена data-* (например, data-url, data-category, data-embed-url). Дальнейший анализ показал, что эти атрибуты также используются, когда видео YouTube добавляется в электронное письмо.

Исследователь нашел способ использовать эти атрибуты для выполнения произвольного JavaScript-кода, когда в качестве вложения прикрепляется видео с YouTube. Для выполнения вредоносного кода пользователю не нужно нажимать на ссылку или открывать вложение, достаточно просто открыть электронное письмо.

Эксперт также уточнил, что пока не получил возможность проверить этот метод атаки в случае с вложениями из Google Drive и Dropbox. Yahoo были проинформированы об уязвимости 12 ноября и исправили ее к концу месяца.

ИТ-компаниям объяснили порядок применения языковых ограничений с 1 марта

С 1 марта 2026 года в России начнут действовать ограничения на использование иностранных слов в информации для потребителей. Новые требования затронут и ИТ-компании, если они работают с физическими лицами. Суть изменений проста: вся информация для публичного ознакомления потребителей должна быть на русском языке.

Об этом участникам рынка рассказали на закрытом вебинаре ассоциации АРПП «Отечественный софт».

Иностранные слова допускаются, но только при обязательном равнозначном переводе, идентичном по смыслу, оформлению и размещению. То есть если где-то написано Sale или Open, рядом должно быть полноценное «Распродажа» или «Открыто», а не мелкая приписка в углу.

Требования распространяются на изготовителей, продавцов и исполнителей услуг, которые работают с гражданами, покупающими товары или услуги для личных нужд. B2B-сегмент и внутренняя коммуникация компаний под новые нормы не подпадают.

Под регулирование попадают вывески, указатели и таблички в местах обслуживания — например, Reception или Checkout. Впрочем, есть исключения: зарегистрированные товарные знаки, фирменные наименования, слова из нормативных словарей, а также случаи, предусмотренные техническими регламентами.

Для ИТ-бизнеса важный момент — формат работы. Если компания оказывает услуги физлицам, например настраивает или сопровождает программное обеспечение, требования её касаются. То же самое может относиться к SaaS-модели: в ряде судебных решений её трактуют как оказание услуг. А вот передача прав по лицензионному договору под действие закона не подпадает.

Отдельный вопрос — онлайн-среда. Формально закон ориентирован на офлайн-пространство, но разъяснения Роспотребнадзора допускают, что сайты могут приравниваться к общедоступным местам. Поэтому бизнесу советуют внимательно следить за дальнейшими официальными комментариями.

Эксперты рекомендуют компаниям уже сейчас провести аудит публичной информации: понять, подпадает ли она под новые требования, проверить возможные исключения и при необходимости добавить полноценный русский перевод. Иначе с весны можно столкнуться с претензиями со стороны контролирующих органов.

RSS: Новости на портале Anti-Malware.ru