Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript затрагивает опасная форма уязвимости, которая может привести к успешной атаке вида ReDoS (regular expression denial of service). Злоумышленник может проэксплуатировать уязвимость, посылая большие и сложные фрагменты текста на инпут веб-сервера или приложения на основе JavaScript.

Если серверный компонент или библиотека приложения специально не предназначены для обработки различных исключительных ситуаций, действия атакующего могут привести к блокировке всего приложения или сервера за считанные минуты.

Известно, что у различных языков программирования и технологий веб-серверов есть схожие проблемы с операциями сопоставления шаблонов, что подвергает их опасности атаки ReDoS. Однако в случае с JavaScript все усугубляется из-за однопоточной модели реализации большинства серверов JavaScript, где каждый запрос обрабатывает тот же поток.

Если злоумышленник проведет атаку ReDoS, она «положит» весь сервер, а не только одну конкретную операцию. Интересно, что впервые подобные схемы ReDoS-атак были описаны еще в далеком 2012 году.

Проведенный в прошлом году исследования показали, что 5 % всех уязвимостей, обнаруженных в библиотеках и приложениях Node.js, были связаны с ReDoS.

Сейчас же эксперты считают, что атаки ReDoS набирают популярность, так эти уязвимости игнорировались на протяжении долгого времени. Кристиан-Александру Стайцу и Майкл Прадель из Дармштадтского технического университета в Германии сообщили об обнаружении 25 ранее неизвестных уязвимостей в популярных модулях Node.js.

Эксперты опубликовали список этих модулей и брешей в них:

Исследователи полагают, что злоумышленник может создать специальные эксплойты для атаки сайтов с помощью любой из этих 25 библиотек.

Эксперты проверили 2 846 популярных сайта, из которых 339 (12 %) оказались уязвимы хотя бы перед одной ReDoS-уязвимостью.

Стайцу и Прадель опубликовали POC-код, доказывающий наличие проблемы, на GitHub.

Рутокен MFA нового поколения получил модуль NFC и стал тоньше

Компания «Актив» представила новое поколение аппаратных FIDO-токенов — Рутокен MFA NFC и Рутокен MFA C NFC. Главные изменения коснулись удобства: устройства стали тоньше, легче и получили встроенный модуль NFC для работы со смартфонами и планшетами.

Если предыдущие модели линейки делали упор на надёжность и совместимость, то в новых версиях заметно больше внимания уделено повседневному использованию. Корпус стал компактнее, токен удобнее носить с собой, а подключение к мобильным устройствам упростилось.

Ключевое новшество — поддержка NFC. Теперь для подтверждения входа или операции на смартфоне достаточно просто поднести токен к устройству. Подключать его по USB или использовать переходники больше не требуется — это особенно актуально для мобильных сценариев, где лишние кабели часто мешают.

Модели отличаются интерфейсом: Рутокен MFA NFC оснащён USB Type-A, а Рутокен MFA C NFC — USB Type-C. В сочетании с NFC это позволяет использовать токены как с современными ноутбуками и гибридными устройствами, так и с более традиционными рабочими станциями.

По словам директора по продуктам Рутокен Андрея Шпакова, добавление беспроводного взаимодействия со смартфонами было одним из наиболее ожидаемых запросов со стороны рынка. Теперь аппаратная двухфакторная аутентификация становится проще и быстрее в повседневной работе.

Новые токены ориентированы на сотрудников, которые активно используют мобильные устройства для доступа к корпоративным сервисам, почте и VPN. Также они подойдут для клиентов банков и пользователей государственных порталов, где важна защита от фишинга и кражи учётных записей.

Рутокен MFA NFC и Рутокен MFA C NFC уже доступны для заказа партнёрам и корпоративным заказчикам компании.

RSS: Новости на портале Anti-Malware.ru