Apple отправит хакерам специальные iPhone для поиска уязвимостей

Apple отправит хакерам специальные iPhone для поиска уязвимостей

Apple отправит хакерам специальные iPhone для поиска уязвимостей

Apple отныне будет отправлять исследователям специальные устройства, которые облегчат поиск уязвимостей в мобильной операционной системе iOS. В итоге выиграют и «хакеры», и корпорация, и конечные пользователи.

В прошлом году Apple анонсировала программу поиска брешей, которая на тот момент преподносилась как огромный шаг вперёд для безопасности пользователей iPhone.

Программа поможет исследователям в области кибербезопасности обойтись без поиска украденных образцов iPhone на чёрных онлайн-рынках. Вместо этого «хакеры» смогут делиться найденными уязвимостями с самой Apple.

«Теперь программа предполагает использование специальных образцов iPhone, предназначенных для поиска проблем безопасности. Эти устройства будут отличаться уникальным способом выполнения кода и ограничением политик», — объявила вчера корпорация.

Специалисты уже сегодня могут подать заявку на участие в новой форме программы по поиску уязвимостей в iOS. Если у исследователя хорошая репутация, Apple отправит ему специальный девайс, с помощью которого можно легче искать бреши в мобильной операционной системе.

Стоит учитывать, что принимая такое устройство от Apple, любой исследователь связывает себя обязательством передавать всю информацию о найденных багах корпорации из Купертино.

Apple также организовала специальный форум, где специалисты смогут делиться полезной информацией и общаться с инженерами компании.

В ONLYOFFICE нашли цепочку уязвимостей: достаточно открыть один файл

Эксперты BI.ZONE обнаружили в ONLYOFFICE Desktop Editors цепочку уязвимостей OnlyShells, которая позволяла атакующему выполнить произвольный код и повысить привилегии в Windows. Жертве достаточно открыть специально подготовленный офисный документ.

Никаких макросов, кнопок «Разрешить содержимое» и долгих уговоров — атака относится к классу 1-click.

Сначала злоумышленник мог использовать сразу несколько уязвимостей для запуска своего кода в системе. Затем ещё одна проблема позволяла повысить права до привилегированного пользователя. В результате атакующий получал максимально широкий доступ к компьютеру.

Причиной стали недостаточная проверка пользовательских данных и устаревшие зависимости. Отдельным уязвимостям присвоили оценки до 6,4 по шкале CVSS 3.1, но в связке их опасность заметно возрастала.

По оценке BI.ZONE TDR, ONLYOFFICE используют около 30% российских компаний. Сам разработчик заявляет о более чем 15 млн пользователей по всему миру.

В BI.ZONE отмечают, что современные средства защиты могут не заметить сам момент эксплуатации цепочки. То есть пользователь просто открывает документ, а дальше система уже начинает жить немного не своей жизнью.

Разработчика уведомили в рамках ответственного раскрытия, после чего он выпустил исправление. Пользователям рекомендуют обновить ONLYOFFICE Desktop Editors до версии 9.3.0.

RSS: Новости на портале Anti-Malware.ru