Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Google устранил XSS-уязвимость в Gmail. По словам сообщивших о проблеме исследователей, брешь крылась в относительно новой функции динамической подгрузки контента в письмах, реализованной Google в июле.

В понедельник Михал Бентковски, глава безопасников в Securitum, раскрыл подробности уязвимости, поскольку разработчики уже успели пропатчить её.

В блоге Бентковски уточняет, что брешь присутствовала в функции AMP4Email, которую Google ввела в эксплуатацию в июле.

AMP4Email ещё называют функцией динамических электронных писем. Её внедрили, чтобы упростить отображение контента в письмах: комментариев или приглашений на мероприятия.

У AMP4Email есть система валидации, позволяющая бороться с XSS-атаками. Отдельные теги и атрибуты занесены в «белый» список, если кто-то попытается добавить сторонний элемент или атрибут, система выдаст ошибку.

Однако исследователь в области кибербезопасности заметил, что идентификатор атрибута допустим в тегах. Это натолкнуло эксперта на мысль, что баг «белого» списка можно использовать для осуществления XSS-атак.

В результате Бентковски обнаружил проблему, существующую благодаря устаревшей функции браузеров — DOM Clobbering.

 

Google получил информацию об уязвимости 15 августа, а 12 октября команда разработчиков уведомила Бентковски, что проблема устранена.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

США планируют потратить на кибербезопасность в 2021 году $5,4 млрд

Исполнительный офис президента США запросил для Министерства обороны на 2021 год бюджет в $9,8 миллиардов. Эти деньги пойдут на проведение операций в цифровом пространстве и на реализацию мер кибербезопасности.

Соответствующую информацию можно найти на сайте Минобороны в документе под названием «DOD Releases Fiscal Year 2021 Budget Proposal». Напомним, что администрация Трампа просила $9,6 миллиардов на 2020 год.

Все вложения исполнительного офиса президента США в киберактивность расписаны буквально по пунктам:

  • Кибербезопасность — $5,4 млрд;
  • Операции в киберпространстве — $3,8 млрд;
  • Наука и техника в цифровом пространстве — $556 миллионов;
  • Разработки в области искусственного интеллекта — $841 миллион;
  • Облачные технологии — $789 миллионов.

Что подразумевается под вложение более пяти миллиардов в кибербезопасность? В первую очередь усиление междоменных решений (cross-domain solution, CDS) и решений в области шифрования следующего поколения. Ожидается, что работа в этом направлении поможет снизить риск кибератак на правительственные сети.

$3,8 млрд на операции — эти затраты поддержат как наступательные, так и оборонительные операции, а также помогут ввести единую киберстратегию.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru