В libcurl обнаружен баг, приводящий к утечке данных аутентификации

В libcurl обнаружен баг, приводящий к утечке данных аутентификации

В libcurl обнаружен баг, приводящий к утечке данных аутентификации

Если вы используете libcurl, инструмент командной строки и библиотеку для передачи данных с URL-адресами, рекомендуется обновиться. В libcurl обнаружили несколько недостатков, один из которых приводит к утечке данных аутентификации.

В официальном сообщении говорится, что библиотека может раскрыть данные аутентификации третьим лицам, проблема существует из-за того, как libcurl обрабатывает специальные заголовки в HTTP-запросах.

«При запросе на отправку заголовков в HTTP-запросах libcurl сначала отправит их на хост в исходном URL-адресе, кроме того, если это будет редирект с кодом HTTP-ответа 30X, данные будут отправлены на адрес, указанный в разделе “Location:”», — пишут специалисты.

Таким образом, приложения могут раскрыть учетные данные, либо данные, «которые могут позволить другим пользователям замаскироваться под запрос клиента libcurl».

Проблема получила идентификатор CVE-2018-1000007, утверждается, что она существует с версий, даже более ранних, чем curl 6.0, то есть где-то с сентября 1999.

Пользователям необходимо обновиться до curl 7.58.0. Если будет необходимо передать заголовок другим хостам, нужно использовать флаг --location-trusted.

Еще одна ошибка, CVE-2018-1000005, способна привести к сбою в работе libcurl. Однако она затрагивает только версии с 7.49.0 по 7.57.0.

Авито планирует запустить сервис знакомств для серьёзных отношений

«Авито» рассматривает запуск собственного сервиса знакомств прямо внутри основного приложения. Компания подтвердила, что идея находится в проработке, но окончательного решения пока нет: сначала изучат рынок, поведение пользователей и спрос.

По данным «Коммерсанта», сервис планируют сделать бесплатным и ориентировать на серьёзные отношения.

Главной ставкой станет безопасность: обязательная верификация профилей, борьба с ботами и фейковыми анкетами, трёхступенчатая модерация и защищённые каналы общения. Для проверки личности могут подключить внешние сервисы, включая «Госуслуги».

Рекомендации партнёров хотят строить на технологиях, которые «Авито» уже использует в каталоге объявлений. На платформе работают более 100 моделей машинного обучения, и теперь им, возможно, придётся подбирать не квартиры и автомобили, а потенциальную любовь всей жизни.

Перед полноценным запуском компания собирается проверить интерес пользователей методом Fake Door: показать функцию так, будто она уже существует, и посмотреть, сколько человек попытаются ею воспользоваться.

Конкуренты встречают идею без паники. В Mamba считают выход «Авито» логичным, но напоминают, что обязательная верификация давно перестала быть уникальной фишкой. В Twinby предполагают, что сервис нужен прежде всего для увеличения времени, которое пользователи проводят в приложении.

Есть и неудобный вопрос: захотят ли люди смешивать профиль с объявлениями и анкету для знакомств. Всё-таки продавать диван и искать серьёзные отношения под одним аккаунтом — уровень цифровой открытости, к которому готовы не все.

Пока «Авито Знакомства» существуют только в планах. Но если проект запустят, привычная фраза «нашлось на Авито» получит совершенно новый смысл.

RSS: Новости на портале Anti-Malware.ru