В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

На прошлой неделе разработчики устранили опасную уязвимость в GnuTLS, библиотеке с открытым исходным кодом для имплементации протокола TLS. Самое удивительное, что эта брешь существовала в коде почти два года, следовательно, сессии TLS 1.3 были уязвимы для атаки.

Проблема безопасности, описанная специалистами на площадке GitHub, позволяла серверам GnuTLS использовать билеты сессии, которые были выпущены ещё при прошлом соединении. При этом необязательно было задействовать функцию, которая генерирует закрытые ключи — gnutls_session_ticket_key_generate().

Проще говоря, потенциальный злоумышленник мог использовать данную уязвимость для обхода процесса аутентификации TLS 1.3. Баг впервые появился в GnuTLS 3.6.4 (релиз состоялся 24 сентября 2018 года), а устранили его в GnuTLS 3.6.14 (3 июня 2020 года).

Эндрю Айер, основатель SSLMate, в Twitter подробно расписал своё видение этого бага. По словам Айера, уязвимость создала сложная система ротации ключей.

Впрочем, Айер и раньше высказывался негативно по поводу GnuTLS, называя библиотеку «клоунской» имплементацией TLS.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Instagram хранил ваши удалённые фото и сообщения больше года

Если вы активно используете Instagram, то должны были сталкиваться с ситуациями, когда от того или иного контента хочется избавиться навсегда. Соответственно, вы рассчитываете, что фотографии и сообщения действительно удаляются с онлайн-площадки. Однако это не совсем так.

Исследователь в области кибербезопасности Сугат Покарель как-то запросил у Instagram копию фотографий и личных сообщений. Такая функция предусмотрена самой социальной сетью.

Эксперт очень удивился, когда ему отправили данные, которые он лично удалил более года назад. Другими словами, все эти фотографии и сообщения не покидали серверов Instagram.

Представители соцсети сослались на некий баг в системе, который сейчас якобы уже исправили. Самому специалисту, выявившему проблему, заплатили $6 000.

Тем не менее на устранение изъяна у Instagram ушёл не один месяц. Покарель обнаружил баг в октябре, а исправили его в начале августа.

«Исследователь сообщил нам о наличие удалённых сообщений и фотографий в копии данных пользователей. Мы устранили эту проблему, но не нашли доказательств её эксплуатации в злонамеренных целях», — заявил представитель Instagram.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru