Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Серьезный недостаток безопасности был обнаружен в браузерах Safari и Microsoft Edge. Используя его, злоумышленник может отображать URL-адрес легитимного сайта в адресной строке браузера в тот момент, когда пользователь по факту находится на вредоносном сайте. Проблему обнаружил исследователь Рафау Балох.

Специалист не стал медлить, и уведомил Apple и Microsoft о наличии бага еще в начале июня. Microsoft отреагировала достаточно оперативным патчем в августе, а вот от Apple пока не получилось дождаться какого-либо ответа.

«В процессе тестирования бага я обратил внимание, что оба браузера (как Edge, так и Safari) разрешили JavaScript обновлять адресную строку еще в процессе загрузки ресурса», — пишет Балох на своем сайте.

«Из-за наличия ошибки “состояние гони” (race condition) вкупе с задержкой, вызванной функцией setInterval, мне удалось совершить спуфинг адресной строки и загрузить содержимое с фейковой страницы».

Следовательно, вырисовывается волне рабочая схема для киберпреступников — они заманивают пользователя на определенный злонамеренный сайт, используют этот недостаток в браузерах и могут рассчитывать, что пользователь вряд ли заподозрит неладное, так как адрес страницы совершенно легитимен.

Балох опубликовал видео, которое подтверждает наличие проблемы.

Интересно, что с новым обновлением корпорация Microsoft все агрессивнее навязывает пользователям свой браузер Edge, позиционируя его как «быстрый и безопасный браузер, оптимизированный для использования в операционной системе Windows 10».

Теперь насчет «безопасного» браузера вполне можно поспорить, учитывая находку Балоха.

В московском метро начали проверять телефоны

В Московском метрополитене подтвердили, что сотрудники службы транспортной безопасности вправе требовать от пассажиров продемонстрировать работоспособность мобильного телефона. Как сообщили в пресс-службе столичной подземки, такие меры предусмотрены приказом Министерства транспорта России от 4 февраля 2025 года № 34 и при необходимости могут применяться дополнительно к уже действующим процедурам досмотра.

Об этом сообщило Агентство городских новостей «Москва». Поводом для обращения журналистов в пресс-службу метро стали сообщения в ряде телеграм-каналов о выборочных проверках телефонов у пассажиров.

«В рамках обеспечения требований безопасности, установленных приказом Министерства транспорта Российской Федерации, на объектах транспортного комплекса Москвы все пассажиры столичного метро проходят досмотр с использованием рамок металлодетекторов», — пояснили в пресс-службе Московского метрополитена.

Ранее аналогичные требования были введены и в метро Санкт-Петербурга. Это подтвердил вице-губернатор города Кирилл Поляков во время прямой линии. По его словам, мера продиктована соображениями безопасности, и он призвал пассажиров отнестись к ней с пониманием. При этом, как подчеркнул Поляков, для проверки достаточно лишь показать, что устройство включается, — снимать блокировку при этом не требуется.

Ранее петербургские СМИ сообщали, что сотрудники транспортной безопасности отказывали в провозе оборудования без автономного питания. В частности, речь шла о мониторах и настольных компьютерах.

RSS: Новости на портале Anti-Malware.ru