Бреши в Kaspersky Web Protection могут вызвать сбой в работе процесса

Бреши в Kaspersky Web Protection могут вызвать сбой в работе процесса

Бреши в Kaspersky Web Protection могут вызвать сбой в работе процесса

Уязвимости в программном обеспечении «Лаборатории Касперского» оставили внутренний API открытым, в результате чего веб-разработчики могли использовать его. Сообщается, что несколько попыток патчинга потерпели неудачу.

Проблему описал разработчик софта Владимир Палант, проанализировавший работу функции Kaspersky Web Protection, включённой в Kaspersky Internet Security 2019.

В задачи Kaspersky Web Protection входит сканирование результатов поисковой выдачи на наличие потенциально вредоносных ссылок, блокировка рекламы и защита от веб-трекеров.

Web Protection необходимо взаимодействовать с основным продуктом. Чтобы обеспечить защищённую связь, для этого используется специальная «секретная» подпись, которая не должна быть известна веб-ресурсам.

Однако обнаруженная Палантом серия уязвимостей позволяет сайтам извлекать этот ключ и устанавливать связь с приложением «Лаборатории Касперского». Более того, у третьих лиц появляется возможность имитации Web Protection и отправки соответствующих команд.

По словам специалиста, уязвимость (CVE-2019-15685) можно использовать для извлечения подписи. Брешь существует из-за того, что Kaspersky Web Protection без расширения для браузера внедряет скрипты непосредственно в веб-страницы.

«Веб-сайты могут использовать эту уязвимость, чтобы незаметно отключить блокировку рекламы и защиту от трекеров», — пишет Палант.

Также специалист сообщил о новой уязвимости под номером CVE-2019-15687. Она открывает ресурсам доступ к данным системы пользователя — например, к уникальному идентификатору установленного на компьютере продукта «Лаборатории Касперского».

«Я попробовал схему извлечения подписи из скриптов в случае с новым Kaspersky Internet Security 2020 — пришлось лишь адаптировать свой PoC-код, чтобы внести изменения в вызов API», — объясняет специалист.

Но и это ещё не все. По словам Паланта, он выявил ещё одну брешь — CVE-2019-15686, благодаря которой можно вызвать сбой в работе процесса антивируса.

Разработчики «Лаборатории Касперского» прокомментировали уязвимости, подчеркнув, что соответствующие патчи готовы и скоро станут доступны пользователям.

Операторы большой четвёрки договорились с МАКС о доставке кодов входа

Билайн, МТС, Мегафон и Т2 подписали стратегические соглашения с национальным мессенджером МАКС. Партнёрство позволит использовать платформу для отправки пользователям авторизационных, сервисных и транзакционных сообщений.

Проще говоря, в МАКС можно будет получать коды подтверждения для входа в разные сервисы, а также уведомления от компаний и организаций. При этом интеграция с платформой будет доступна не только операторам «большой четвёрки», но и всем российским операторам связи.

Для удобства сообщения в МАКС будут автоматически распределяться по двум защищённым папкам: «Коды подтверждения» и «Полезные уведомления». Обе папки получат специальный знак верификации.

Отдельное внимание уделят важным уведомлениям. Они будут приходить только на доверенное устройство, которое пользователь укажет сам. Эту технологию уже протестировали совместно с Минцифры, и она используется как основная для входа в приложение Госуслуг.

Новый канал доставки будет работать в рамках действующих соглашений операторов с бизнес-клиентами. С технической точки зрения компаниям не придётся перестраивать рассылки: всё должно работать на прежних настройках.

В дальнейшем через МАКС бизнес сможет отправлять не только обычные текстовые уведомления, но и более насыщенные сообщения в формате Rich Media. В них можно будет добавлять изображения, GIF, видео, аудио и кнопки для быстрых действий.

В Билайне отметили, что новый канал доставки сообщений станет дополнением к СМС и не потребует дополнительных действий со стороны пользователей и бизнес-клиентов. В Т2 подчеркнули, что компании-партнёры уже интересуются запуском уведомлений в МАКС на фоне роста роли национального мессенджера.

В Мегафоне добавили, что если доставить сообщение в МАКС не получится, его продублируют по СМС без дополнительной платы. В МТС заявили, что операторы будут управлять маршрутизацией сообщений в рамках утверждённых сценариев и обеспечивать их своевременную доставку.

В VK, развивающей МАКС, назвали партнёрство началом формирования нового стандарта коммуникаций компаний с клиентами: пользователи должны получить больше удобства и безопасности, а бизнес — новые мультимедийные возможности для общения с аудиторией.

RSS: Новости на портале Anti-Malware.ru