Уязвимость в Apple Music для Android расскрывает данные пользователя

Уязвимость в Apple Music для Android расскрывает данные пользователя

Уязвимость в Apple Music для Android расскрывает данные пользователя

Выпущенное на этой неделе обновление приложения для Android Apple Music, устраняет уязвимость проверки сертификата, которая может быть использована для перехвата конфиденциальных данных.

Согласно Google Play, Apple Music для Android установили от 10 до 50 миллионов раз. В новой версии 2.0 пользователи получат новый дизайн и функции. В дополнение к этому, обновление исправляет брешь в безопасности, которая может позволить злоумышленнику получить информацию о пользователе (атака man-in-the-middle).

Об уязвимости Apple сообщил Дэвид Кумбер (David Coomber) из Info-Sec. Она получила идентификатор CVE-2017-2387 и затрагивает Apple Music версии 1.2.1 и более ранние.

В опубликованном на этой неделе сообщении, эксперт утверждает, что в январе просил Apple обновить статус относительно исправления этой уязвимости. На это компания ответила, что все еще работает над устранением.

Проблема, по мнению исследователя, заключалась в том, что приложение не проверяло SSL-сертификаты, полученные при подключении к серверам.

«Злоумышленник просто может подставить поддельный сертификат, которое приложение молча примет. Благодаря этой схеме хакер может получить конфиденциальную информацию пользователя» - пояснил Кумбер в своем сообщении.

Пользователи Windows нашли способ отключить автозагрузку ИИ в Chrome

Пользователи Windows 11 могут отключить автоматическую загрузку локальных ИИ-моделей в Google Chrome и Microsoft Edge через настройку реестра. Новый метод стал актуален после сообщений о том, что Chrome автоматически скачивает ИИ-модели объёмом до 4 ГБ без явного согласия пользователя.

У Edge, который тоже основан на Chromium, есть похожий механизм. Для управления им Microsoft добавила политику GenAILocalFoundationalModelSettings. Она предназначена в первую очередь для организаций, но может пригодиться и обычным пользователям Windows 11 Pro.

Если политика включена в режиме Allowed (0), браузер может автоматически загружать и использовать локальную ИИ-модель для обработки запросов на устройстве. Если установить значение Disallowed (1), загрузка будет запрещена, а уже скачанная модель должна быть удалена с устройства.

Для Edge параметр можно прописать в ветке реестра:

HKLM\SOFTWARE\Policies\Microsoft\Edge

Для Chrome:

HKLM\SOFTWARE\Policies\Google\Chrome

В обоих случаях нужно создать или изменить параметр GenAILocalFoundationalModelSettings и установить значение 1.

Через командную строку это выглядит так:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v "GenAILocalFoundationalModelSettings" /t REG_DWORD /d 1 /f

Для Chrome:

reg add "HKLM\SOFTWARE\Policies\Google\Chrome" /v "GenAILocalFoundationalModelSettings" /t REG_DWORD /d 1 /f

Интересный момент: политика поддерживает динамическое обновление, то есть администраторам не обязательно перезапускать браузер после изменения настройки.

Если параметр не задан, Chrome версии 147 и новее должен по умолчанию автоматически скачивать и использовать модель. В Edge поведение пока отличается. Поддержка политики заявлена для Windows 11 и macOS начиная с Edge 132, а для Android — с версии 147. iOS пока не поддерживается.

RSS: Новости на портале Anti-Malware.ru