Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Серьезный недостаток безопасности был обнаружен в браузерах Safari и Microsoft Edge. Используя его, злоумышленник может отображать URL-адрес легитимного сайта в адресной строке браузера в тот момент, когда пользователь по факту находится на вредоносном сайте. Проблему обнаружил исследователь Рафау Балох.

Специалист не стал медлить, и уведомил Apple и Microsoft о наличии бага еще в начале июня. Microsoft отреагировала достаточно оперативным патчем в августе, а вот от Apple пока не получилось дождаться какого-либо ответа.

«В процессе тестирования бага я обратил внимание, что оба браузера (как Edge, так и Safari) разрешили JavaScript обновлять адресную строку еще в процессе загрузки ресурса», — пишет Балох на своем сайте.

«Из-за наличия ошибки “состояние гони” (race condition) вкупе с задержкой, вызванной функцией setInterval, мне удалось совершить спуфинг адресной строки и загрузить содержимое с фейковой страницы».

Следовательно, вырисовывается волне рабочая схема для киберпреступников — они заманивают пользователя на определенный злонамеренный сайт, используют этот недостаток в браузерах и могут рассчитывать, что пользователь вряд ли заподозрит неладное, так как адрес страницы совершенно легитимен.

Балох опубликовал видео, которое подтверждает наличие проблемы.

Интересно, что с новым обновлением корпорация Microsoft все агрессивнее навязывает пользователям свой браузер Edge, позиционируя его как «быстрый и безопасный браузер, оптимизированный для использования в операционной системе Windows 10».

Теперь насчет «безопасного» браузера вполне можно поспорить, учитывая находку Балоха.

Минюст предложил криминализировать нелегальный майнинг

Минюст разместил на портале проектов нормативных актов законопроект, предусматривающий введение уголовной ответственности за нелегальный майнинг криптовалюты, а также за незаконную деятельность операторов майнинговой инфраструктуры.

Документ опубликован для общественного обсуждения и содержит поправки в Уголовный и Уголовно-процессуальный кодексы РФ.

Согласно проекту, в Уголовный кодекс предлагается добавить часть 6 в статью 171. В ней преступлением признаётся «осуществление майнинга цифровой валюты лицом, не включённым в реестр лиц, осуществляющих майнинг цифровой валюты, если такое включение является обязательным, либо оказание услуг оператора майнинговой инфраструктуры без включения в реестр операторов майнинговой инфраструктуры — при условии, что эти деяния причинили крупный ущерб гражданам, организациям или государству либо были сопряжены с извлечением дохода в крупном размере».

За такие действия предлагается наказывать штрафом до 1,5 млн рублей либо исправительными работами сроком до двух лет. При наличии отягчающих обстоятельств — крупного ущерба, значительного незаконного дохода или совершения преступления в составе организованной группы — штраф может увеличиться до 2,5 млн рублей. Также предусмотрены принудительные работы на срок до пяти лет или лишение свободы на тот же срок.

Отдельно отмечается проблема нелегального майнинга с использованием чужих устройств, когда добыча криптовалюты ведётся с помощью внедрённых на компьютеры пользователей вредоносных программ. В последние годы, как отмечают специалисты, майнинговые ботнеты начали создавать и на базе устройств «умного дома», объединяя их в распределённые сети.

RSS: Новости на портале Anti-Malware.ru