Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Серьезный недостаток безопасности был обнаружен в браузерах Safari и Microsoft Edge. Используя его, злоумышленник может отображать URL-адрес легитимного сайта в адресной строке браузера в тот момент, когда пользователь по факту находится на вредоносном сайте. Проблему обнаружил исследователь Рафау Балох.

Специалист не стал медлить, и уведомил Apple и Microsoft о наличии бага еще в начале июня. Microsoft отреагировала достаточно оперативным патчем в августе, а вот от Apple пока не получилось дождаться какого-либо ответа.

«В процессе тестирования бага я обратил внимание, что оба браузера (как Edge, так и Safari) разрешили JavaScript обновлять адресную строку еще в процессе загрузки ресурса», — пишет Балох на своем сайте.

«Из-за наличия ошибки “состояние гони” (race condition) вкупе с задержкой, вызванной функцией setInterval, мне удалось совершить спуфинг адресной строки и загрузить содержимое с фейковой страницы».

Следовательно, вырисовывается волне рабочая схема для киберпреступников — они заманивают пользователя на определенный злонамеренный сайт, используют этот недостаток в браузерах и могут рассчитывать, что пользователь вряд ли заподозрит неладное, так как адрес страницы совершенно легитимен.

Балох опубликовал видео, которое подтверждает наличие проблемы.

Интересно, что с новым обновлением корпорация Microsoft все агрессивнее навязывает пользователям свой браузер Edge, позиционируя его как «быстрый и безопасный браузер, оптимизированный для использования в операционной системе Windows 10».

Теперь насчет «безопасного» браузера вполне можно поспорить, учитывая находку Балоха.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В открытый доступ попали базы данных российских ученых-политологов

В Сеть утекли два дампа Российской Ассоциации Политической Науки (РАПН). Файлы содержат персональные данные действующих членов и кандидатов на вступление в организацию. В документах информация за последние 20 лет существования РАПН.

О потере данных российских политологов-профессионалов пишет сегодня Telegram-канал “Утечки информации”. Речь о двух базах.

Первая содержит 3,5 тысячи записей членов РАПН. Это ФИО, телефоны, электронные почты, домашние адреса, а также места работы и должности.

Второй дамп связан с кандидатами, подавшими заявление вступление в ассоциацию. К именам и телефонам прилагается возраст, IP-адрес и резюме соискателей. В документе примерно 700 заявок.

Судя по датам, базы содержат информацию за последние 18 лет: с июля 2004 по май 2022.

“Ныне РАПН действует в 54 регионах страны и насчитывает порядка 1000 человек. Молодежное отделение РАПН – около 250 человек”, — говорится на официальном сайте российских политологов.

Добавим, на минувшей неделе в подмосковном отеле “Ареал” прошел форум молодых политологов “Дигория”. 

Как пишет “Ъ”, организаторы сильно ограничили участников в комментариях журналистам — в подробностях рассказывать о происходящем в “цехах” было строго запрещено. Участники и эксперты подписывали соглашения о неразглашении.

На финальной церемонии выступала и президент Российской ассоциации политической науки (РАПН) профессор МГИМО Оксана Гаман-Голутвина.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru