Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Новая уязвимость в браузерах, основанных на Chromium, позволяет обойти дополнительный уровень безопасности Content Security Policy (CSP). В результате данные посетителей сайтов находятся в зоне риска, поскольку злоумышленники могут выкрасть их, а также выполнить вредоносный код.

Получивший идентификатор CVE-2020-6519 баг затрагивает Chrome, Opera и Edge для операционных систем Windows, macOS и Android. По словам Гала Уэйзмана, исследователя из PerimeterX, в опасности находятся около миллиарда пользователей браузеров.

Что касается конкретно Chrome — самого популярного на сегодняшний день браузера — уязвимость CVE-2020-6519 угрожает версиям Chrome 73-83. К счастью, вышедший в июле Chrome 84 устраняет брешь.

Уровень защиты CSP, который позволяет обойти описанный баг, предназначен для защиты посетителей сайтов от атаки вида XSS и от вредоносных инъекций. Благодаря CSP администраторы ресурсов могут обозначить безобидные домены, с которых браузер будет запускать скрипты.

«Если мы говорим о возможности обхода Content Security Policy (CSP), стоит учитывать, что данные пользователей находятся в зоне риска», — объясняет в отчёте Уэйзман.

Многие крупные онлайн-проекты используют CSP: ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo и Zoom.

Для успешной атаки злоумышленник должен модифицировать JavaScript. Этого можно добиться через атаку на веб-сервер (например, с помощью брутфорса паролей). Далее атакующий спокойно проведёт инъекцию кода в обход CSP.

Поскольку эксплуатация бага возможна лишь после прохождения аутентификации (взлома паролей), уязвимости присвоили среднюю степень риска. Однако Уэйзман подчёркивает, что такие атаки могут иметь серьёзные последствия.

Авиакомпании, СМИ и магазины: расширен «белый список» интернета

В России расширили так называемый «белый список» сайтов и сервисов, которые продолжают работать даже в периоды ограничений мобильного интернета, вводимых по соображениям безопасности. В перечень добавили сразу несколько десятков новых ресурсов — от госорганов и СМИ до магазинов, авиакомпаний и сервисов повседневных услуг.

На новом этапе в список вошли, в частности, информационный ресурс «Итоги года с Владимиром Путиным», сайты Совета Федерации, МВД и МЧС, движение «Движение первых», а также авиакомпании «Аэрофлот» и «Победа».

Среди инфраструктурных и деловых ресурсов — «Россети», «Росатом Сеть зарядных станций», Московская биржа, оператор связи «Мотив» и портал по поиску работы HeadHunter.

Перечень пополнился и сервисами для повседневных задач: каршерингом «Ситидрайв», логистической компанией «Деловые линии», сетью ресторанов «Вкусно — и точка», онлайн-кинотеатром «Иви», а также крупными торговыми сетями — «ВкусВилл», «Ашан», «Спар», Metro и «Петрович».

Отдельный блок — средства массовой информации. В «белый список» включены как сайты и приложения федеральных телеканалов (Первый канал, НТВ, RT, ОТР, ТВЦ, ТНТ, СТС, «Пятый канал», «РЕН ТВ», «Пятница», «Домашний», «Муз-ТВ», «Мир», «Спас»), так и печатные издания и цифровые СМИ: «Аргументы и факты», «Российская газета», «Ведомости», «Московский комсомолец», а также приложение «Радиоплеер».

Кроме того, список продолжает расширяться за счёт региональных ресурсов. Ранее туда уже входили социально значимые сервисы в сферах здравоохранения, образования, транспорта и региональных госуслуг. Теперь к ним добавились сайты администраций субъектов РФ и дополнительные региональные платформы.

Напомним, что в «белый список» также входят сайты Президента и Правительства России, крупные маркетплейсы (Ozon, Wildberries), сервисы заказа такси («Яндекс», «Максим») и онлайн-кинотеатры («Кинопоиск», «Винк», Kion, Okko). Перечень формируется на основе предложений федеральных и региональных властей и согласовывается с органами, отвечающими за вопросы безопасности. Работа над его расширением продолжается.

RSS: Новости на портале Anti-Malware.ru