Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Олег Иванов 19 Ноября 2019 - 10:38

Домашние пользователи

...

Google устранил XSS-уязвимость в Gmail. По словам сообщивших о проблеме исследователей, брешь крылась в относительно новой функции динамической подгрузки контента в письмах, реализованной Google в июле.

В понедельник Михал Бентковски, глава безопасников в Securitum, раскрыл подробности уязвимости, поскольку разработчики уже успели пропатчить её.

В блоге Бентковски уточняет, что брешь присутствовала в функции AMP4Email, которую Google ввела в эксплуатацию в июле.

AMP4Email ещё называют функцией динамических электронных писем. Её внедрили, чтобы упростить отображение контента в письмах: комментариев или приглашений на мероприятия.

У AMP4Email есть система валидации, позволяющая бороться с XSS-атаками. Отдельные теги и атрибуты занесены в «белый» список, если кто-то попытается добавить сторонний элемент или атрибут, система выдаст ошибку.

Однако исследователь в области кибербезопасности заметил, что идентификатор атрибута допустим в тегах. Это натолкнуло эксперта на мысль, что баг «белого» списка можно использовать для осуществления XSS-атак.

В результате Бентковски обнаружил проблему, существующую благодаря устаревшей функции браузеров — DOM Clobbering.

Google получил информацию об уязвимости 15 августа, а 12 октября команда разработчиков уведомила Бентковски, что проблема устранена.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Екатерина Быстрова 17 Февраля 2020 - 16:51

Государство

США планируют потратить на кибербезопасность в 2021 году $5,4 млрд

Исполнительный офис президента США запросил для Министерства обороны на 2021 год бюджет в $9,8 миллиардов. Эти деньги пойдут на проведение операций в цифровом пространстве и на реализацию мер кибербезопасности.

Соответствующую информацию можно найти на сайте Минобороны в документе под названием «DOD Releases Fiscal Year 2021 Budget Proposal». Напомним, что администрация Трампа просила $9,6 миллиардов на 2020 год.

Все вложения исполнительного офиса президента США в киберактивность расписаны буквально по пунктам:

Кибербезопасность — $5,4 млрд;
Операции в киберпространстве — $3,8 млрд;
Наука и техника в цифровом пространстве — $556 миллионов;
Разработки в области искусственного интеллекта — $841 миллион;
Облачные технологии — $789 миллионов.

Что подразумевается под вложение более пяти миллиардов в кибербезопасность? В первую очередь усиление междоменных решений (cross-domain solution, CDS) и решений в области шифрования следующего поколения. Ожидается, что работа в этом направлении поможет снизить риск кибератак на правительственные сети.

$3,8 млрд на операции — эти затраты поддержат как наступательные, так и оборонительные операции, а также помогут ввести единую киберстратегию.