Сотовые операторы США продают данные о местоположении клиентов

Олег Иванов 15 Мая 2018 - 10:42

...

Сотовые операторы США продают данные о местоположении клиентов

Четыре крупнейших сотовых оператора США продают данные о местоположении своих клиентов в реальном времени компании Securus, о которой вы, скорее всего, никогда не слышали. Сообщается, что Федеральная комиссия по связи (FCC) проверит, почему AT&T, Verizon, T-Mobile и Sprint через посредника LocationSmart продавали чувствительную информацию клиентов.

История получила огласку благодаря тому, что бывший полицейский следил за данными о местоположении без какого-либо ордера. Однако сам себя виновным он не признал.

Специалисты раскрутили цепочку и выяснили, что LocationSmart получила данные о местоположении миллионов американцев в реальном времени, чему поспособствовали американские сотовые операторы.

Интересную лазейку отметили эксперты в законе о конфиденциальности электронных коммуникаций (Electronic Communications Privacy Act). Согласно этому закону, телекоммуникационные компании не имеют право передавать данные клиентов правительству, однако он не ограничивает передачу этих же данных другим компаниям, которые затем могут предоставить их властям.

Специалисты считают, что это самый большой пробел в законодательстве США, который затрагивает регулирование конфиденциальных данных.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Татьяна Никитина 17 Сентября 2021 - 18:32

Уязвимости сайтов Домашние пользователи Малый и средний бизнес

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Сотовые операторы США продают данные о местоположении клиентов

Читайте также