Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Google пропатчил XSS-уязвимость в функции динамических писем Gmail

Google устранил XSS-уязвимость в Gmail. По словам сообщивших о проблеме исследователей, брешь крылась в относительно новой функции динамической подгрузки контента в письмах, реализованной Google в июле.

В понедельник Михал Бентковски, глава безопасников в Securitum, раскрыл подробности уязвимости, поскольку разработчики уже успели пропатчить её.

В блоге Бентковски уточняет, что брешь присутствовала в функции AMP4Email, которую Google ввела в эксплуатацию в июле.

AMP4Email ещё называют функцией динамических электронных писем. Её внедрили, чтобы упростить отображение контента в письмах: комментариев или приглашений на мероприятия.

У AMP4Email есть система валидации, позволяющая бороться с XSS-атаками. Отдельные теги и атрибуты занесены в «белый» список, если кто-то попытается добавить сторонний элемент или атрибут, система выдаст ошибку.

Однако исследователь в области кибербезопасности заметил, что идентификатор атрибута допустим в тегах. Это натолкнуло эксперта на мысль, что баг «белого» списка можно использовать для осуществления XSS-атак.

В результате Бентковски обнаружил проблему, существующую благодаря устаревшей функции браузеров — DOM Clobbering.

 

Google получил информацию об уязвимости 15 августа, а 12 октября команда разработчиков уведомила Бентковски, что проблема устранена.

Электронный замок запер семью в горящем элитном ЖК в Москве

Электронный замок заблокировал семью в квартире во время пожара в элитном жилом комплексе «На Страстном бульваре» в Москве. После отключения электричества жильцы шестого этажа не смогли самостоятельно открыть дверь. На помощь пришли спасатели.

Чтобы выпустить людей из квартиры, им пришлось выбить дверь. Получается, система, призванная защищать жильцов от посторонних, в критический момент решила не выпускать и своих.

По данным Mash, во время пожара дома находилась модельер Ольга Русан с ребёнком. О возгорании женщина якобы узнала не от системы оповещения, а от подруги.

Сообщений об эвакуации жильцы, как утверждается, не получили. Русан схватила ребёнка и попыталась покинуть квартиру, однако дорогу преградил обесточенный электронный замок.

Обстоятельства пожара, возможные причины отключения замка и исправность системы оповещения официально пока не уточнялись.

RSS: Новости на портале Anti-Malware.ru