Уязвимости Meetup позволяли получить контроль над группами

Уязвимости Meetup позволяли получить контроль над группами

Уязвимости Meetup позволяли получить контроль над группами

Не только у Zoom есть проблемы безопасности. На днях уязвимости обнаружили в популярном сервисе для видеоконференций — Meetup. В случае успешной эксплуатации атакующий мог получить доступ к аккаунтам миллионов пользователей.

Бреши нашли специалисты компании Chechmarx. По их словам, это связка из уязвимостей XSS и CSRF, позволяющая получить права администратора на атакуемом сайте.

Другими словами, злоумышленники смогут не только отменять или модифицировать конференции, но и перенаправлять платежи через PayPal.

Благодаря существующим лазейкам атакующие могли внедрить вредоносный скрипт в посты, публикующиеся в разделе обсуждений Meetup. Сам скрипт не будет виден рядовым пользователям, однако преступники получат возможность запускать несанкционированные команды.

Хуже всего, что уязвимости можно использовать для червеобразных атак. То есть злоумышленник в теории мог скомпрометировать весь сайт, получив изначально доступ к группам и платежам.

Разработчики Meetup уже выпустили патч, поскольку команда Checkmarx заранее предупредила их о наличие бреши.

Подпишитесь на новости

Клиентов российских ЦОДов могут отключать ради сервисов из белых списков

Оплаченный сервер может оказаться недостаточно веским аргументом: российские дата-центры могут обязать отключать неприоритетных клиентов, если мощности понадобятся сервисам из белых списков. Такой механизм обсуждают на случай потери части инфраструктуры.

Об инициативе узнал РБК от трёх источников в ИТ-отрасли. Обсуждение прошло на совещании в Минцифры 6 ноября.

Основа — указ президента о резервировании 10% площадей и мощностей ЦОДов. После решения специальной подкомиссии предоставить ресурсы потребуется в течение суток. Если свободного места не хватит, рассматривается отключение действующих клиентов.

По данным источников, такие отключения предлагают признавать форс-мажором. А невыполнение требований может стать основанием для введения временного управления дата-центром.

Требования предполагается распространить на коммерческие ЦОДы, включая площадки, обслуживающие одновременно внешних клиентов и собственные системы. Корпоративные дата-центры исключительно для внутренних нужд и пострадавшие площадки, по словам собеседников издания, под них не подпадут.

За само резервирование платить не планируют — только за фактически затребованное размещение. Участники рынка предупреждают: освободить мощности и перенести системы за сутки без подготовки крайне сложно.

В Минцифры подчёркивают, что механизм ещё прорабатывается вместе с экспертами и рынком.

RSS: Новости на портале Anti-Malware.ru