Непропатченную уязвимость выполнения кода в KDE слили через Twitter

Непропатченную уязвимость выполнения кода в KDE слили через Twitter

Исследователь в области безопасности поделился кодом proof-of-concept (PoC) для эксплуатации уязвимости в KDE Frameworks. На момент написания материала патч для данной бреши ещё не вышел.

Проблему безопасности обнаружил эксперт Доминик Пеннер (Dominik "zer0pwn" Penner), она затрагивает KDE Frameworks 5.60.0 и более ранние версии.

Напомним, что KDE Frameworks представляет собой набор библиотек, которые являются основой для среды рабочего стола KDE.

Уязвимость существует из-за того, как класс KDesktopFile (часть KDE Frameworks) обрабатывает файлы .desktop и .directory. Пеннер обнаружил, что он может создать вредоносные версии этих файлов, что приведёт к запуску злонамеренного кода на компьютере пользователя.

Если пользователь откроет папку с файлами  .desktop и .directory с помощью Dolphin (файловый менеджер KDE), вредоносный код запустится самостоятельно, никакого взаимодействия с пользователем не потребуется.

Подробный разбор проблемы безопасности Пеннер опубликовал на GitHub. Более того, ниже доступно видео, в котором демонстрируется наличие бреши.

Для успешной эксплуатации этой уязвимости потребуется заставить пользователя скачать вредоносные версии вышеозначенных файлов. Для этого атакующий может прибегнуть к социальной инженерии.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google выпустил аппаратный токен USB-C Titan Security Key

Google объявил о выпуске нового аппаратного токена USB-C Titan Security Key, который разрабатывался совместно с Yubico. Таким образом, на сегодняшний день интернет-гигант предлагает следующие модели Titan Security Key: USB-A/NFC и Bluetooth/NFC/USB.

Инженеры Google уверяют, что токен Titan Security Key является одним из лучших современных способов защиты Google Аккаунтов от взлома и фишинга.

Особенно это касается ценных учётных записей, регулярно подвергающихся атакам. Аппаратный токен, к слову, представляет собой часть инициативы, известной как Google Advanced Protection Program.

При этом все токены Titan Security Key основаны на открытых стандартах FIDO, над которыми работали сотрудники Google и Yubico.

USB-C Titan Security Key, как и предыдущие модели, содержат специальный чип безопасности, включающий разработанную Google прошивку, которая используется для проверки подлинности ключа.

USB-C Titan Security Key доступны с сегодняшнего дня. Цена в Штатах — $40.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru