Уязвимость в Evernote для macOS позволяет выполнить произвольный код

Уязвимость в Evernote для macOS позволяет выполнить произвольный код

Уязвимость в Evernote для macOS позволяет выполнить произвольный код

Популярное приложение для создания заметок Evernote версии 7.9 для операционной системы macOS затрагивает проблема безопасности, известная как path traversal. Эта уязвимость позволяет атакующему запускать произвольные программы.

В итоге злоумышленники могут использовать специально созданный URI в заметке, что приведет к атаке, в которой file:/// используется как аргумент, также атакующие могут переместиться к любой директории (например, ../../../../something.app).

Поскольку Evernote оснащена возможностями, позволяющими делиться заметками, злоумышленники могут воспользоваться этой уязвимостью и разослать вредоносные заметки (формата .enex) предполагаемым жертвам.

В настоящее время проблема отслеживается под идентификатором CVE-2019-10038, а патч был выпущен с версией Evernote 7.10 Beta 1 и 7.9.1 GA для macOS.

Сообщившие о проблеме безопасности эксперты в области кибербезопасности опубликовали видео, в котором демонстрируется эксплуатация уязвимости path traversal.

Мессенджер для заключённых не разрешит чатиться из камеры, никаких кружков

В России готовят к тестированию «Точку контакта» — систему для общения с подозреваемыми, обвиняемыми и осуждёнными. После первых сообщений о проекте в Сети успели решить, что заключённым выдадут смартфоны и разрешат переписываться с родственниками чуть ли не из камеры. Разработчик объяснил: никаких мобильников и бесконтрольных чатов не будет.

Компания «Защищённые телекоммуникации» сообщила, что пользоваться приложением на смартфоне смогут только люди, находящиеся на воле.

В учреждениях ФСИН установят специальные защищённые терминалы коллективного доступа. Их разместят в отведённых местах, а подходить к ним заключённые смогут только в установленное время и с разрешения администрации.

Для каждого пользователя за решёткой создадут специальную учётную запись. Через неё можно будет получать сообщения и корреспонденцию. Возможность отправки видеороликов тоже рассматривается, однако обмениваться кружочками в реальном времени, как в обычном мессенджере, не получится. Все письма и файлы будут проходить обязательную цензуру.

Система также предусматривает видеосвязь. Вызов совершает сам осуждённый, а родственнику нужно установить приложение, заранее договориться о времени и принять звонок. Номер собеседника должен находиться в списке разрешённых контактов. Такие разговоры приравниваются к обычным телефонным звонкам и не заменяют свидания.

Кроме того, через сервис заключённому можно будет отправлять дополнительные материалы — например, судоку, чтобы казённые стены не мешали тренировке мозга.

Сейчас «Точка контакта» находится на пилотной стадии. К пробному запуску готовят несколько учреждений в разных регионах. В общем, мессенджер действительно ловит в зоне, но только на специальном терминале, по расписанию и под пристальным взглядом системы.

RSS: Новости на портале Anti-Malware.ru