Фитнес-приложение Polar Flow раскрыло местожительства агентов спецслужб

Фитнес-приложение Polar Flow раскрыло местожительства агентов спецслужб

Популярное фитнес-приложение Polar Flow случайно раскрыло местоположение персонала, работающего на военных базах и в разведывательных службах. Polar Flow, разработанным компанией Polar, пользуются миллионы человек.

Вся проблема заключалась в том, что доступ к активности пользователя можно было получить довольно просто — изменив веб-адрес браузера. Таким образом, даже те учетные записи, чьи настройки конфиденциальности были выставлены на максимум, могли раскрыть, где живет человек.

Если мы говорим о раскрытии местожительства госслужащего или военного, такой подход может быстро стать угрозой национальной безопасности.

Во всем виноват API разработчиков компании, его можно использовать для извлечения активности пользователей, например, получить информацию о каждой пробежке.

Исследователям удалось выявить более 6400 пользователей приложения Polar Flow, которые работали в АНБ, Белом доме, MI6 и прочих важных спецслужбах. Среди юзеров были найдены имена офицеров и агентов иностранных разведывательных служб — присутствуют даже агенты ГРУ.

Используя полученные от Polar Flow данные, легко было определить, где человек проживает, причем количество запросов ничем не ограничивалось. Стало быть, злоумышленники или иностранные секретные службы могут собрать конфиденциальную информацию о миллионах пользователей.

Это не первый случай, когда приложение для фитнес-трекинга стало причиной проблем конфиденциальности. Например, информация о местонахождении военных баз и шпионских аванпостов по всему миру была раскрыта компанией, предоставляющей услуги по отслеживанию фитнес-активности. Эти данные были опубликованы Strava на карте, отображающей всю активность, отслеживаемую пользователями приложения.

Приложение Strava можно использовать на различных устройствах, в том числе смартфонах и фитнес-трекерах, таких как Fitbit, благодаря нему можно увидеть популярные маршруты в крупных городах.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Microsoft в ноябре проигнорировала 0-day, слитую в Twitter в октябре

Вчера Microsoft выпустила очередной набор обновлений безопасности для своей операционной системы. На этот раз корпорация устранила 62 проблемы безопасности. Среди этих уязвимостей также присутствовала 0-day, которая активно эксплуатировалась злоумышленниками до выхода ноябрьских патчей. Удивительно, но в Редмонде проигнорировали другую zero-day, сведения о которой были опубликованы в Twitter.

Исправленная уязвимость нулевого дня отслеживается под идентификатором CVE-2018-8589, она затрагивает Win32k, компонент системы Windows. Сама Microsoft классифицировала эту брешь как «проблему повышения привилегий в системе».

В корпорации объяснили, что атакующий мог использовать эту дыру для эскалации привилегий только в том случае, если он первым делом заразил систему и запустил вредоносный код.

Microsoft также отметила, что за обнаружение этой проблемы стоит сказать спасибо исследователям антивирусной компании «Лаборатория Касперского». Эксперты, в свою очередь, утверждают, что наблюдали использование этого бага серьезными киберпреступными группами.

0-day можно было использовать на 32-битных системах Windows 7. Корпорация обещала выпустить сегодня подробный анализ этой уязвимости, а также способов ее использования. Это уже вторая по счету брешь нулевого дня, которую Microsoft патчит за последние месяцы — обе были обнаружены экспертами «Лаборатории Касперского».

Эксперты, однако, отметили, что Microsoft в этом месяце не устранила другую серьезную проблему — 0-day эксплойт для последних версий Windows, слитый в Twitter в октябре.

Уязвимость нулевого дня затрагивает Microsoft Data Sharing (dssvc.dll), локальный сервис, обеспечивающий обмен данными между приложениями. По словам нескольких специалистов, которые проанализировали PoC-код, атакующий может использовать брешь для повышения привилегий в системах, к которым у него уже есть доступ.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru