Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Новая уязвимость в браузерах, основанных на Chromium, позволяет обойти дополнительный уровень безопасности Content Security Policy (CSP). В результате данные посетителей сайтов находятся в зоне риска, поскольку злоумышленники могут выкрасть их, а также выполнить вредоносный код.

Получивший идентификатор CVE-2020-6519 баг затрагивает Chrome, Opera и Edge для операционных систем Windows, macOS и Android. По словам Гала Уэйзмана, исследователя из PerimeterX, в опасности находятся около миллиарда пользователей браузеров.

Что касается конкретно Chrome — самого популярного на сегодняшний день браузера — уязвимость CVE-2020-6519 угрожает версиям Chrome 73-83. К счастью, вышедший в июле Chrome 84 устраняет брешь.

Уровень защиты CSP, который позволяет обойти описанный баг, предназначен для защиты посетителей сайтов от атаки вида XSS и от вредоносных инъекций. Благодаря CSP администраторы ресурсов могут обозначить безобидные домены, с которых браузер будет запускать скрипты.

«Если мы говорим о возможности обхода Content Security Policy (CSP), стоит учитывать, что данные пользователей находятся в зоне риска», — объясняет в отчёте Уэйзман.

Многие крупные онлайн-проекты используют CSP: ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo и Zoom.

Для успешной атаки злоумышленник должен модифицировать JavaScript. Этого можно добиться через атаку на веб-сервер (например, с помощью брутфорса паролей). Далее атакующий спокойно проведёт инъекцию кода в обход CSP.

Поскольку эксплуатация бага возможна лишь после прохождения аутентификации (взлома паролей), уязвимости присвоили среднюю степень риска. Однако Уэйзман подчёркивает, что такие атаки могут иметь серьёзные последствия.

Банки и операторы заплатят за ошибки, которые помогли мошенникам

Россиянам могут начать возвращать деньги, переведённые телефонным мошенникам, если преступление стало возможным из-за нарушений банка или оператора связи. Процедуру компенсаций прописали в проектах постановлений к пакету «Антифрод 2.0».

Схема такая: пострадавший обращается в банк и сообщает, что отправил деньги под влиянием мошенников. Банк проверяет, должен ли был распознать подозрительную операцию и остановить перевод. Если пропустил, возмещает ущерб сам.

Если банк всё сделал правильно, заявление отправят оператору связи. Тот должен выяснить, мог ли вовремя обнаружить мошеннический номер и заблокировать его. Если ошибка была на стороне оператора, платить придётся ему.

При положительном решении деньги должны вернуть в течение 30 дней. Для трансграничных переводов срок увеличивается до 60 дней. Лимитов по размеру компенсации в финальной версии не предусмотрено.

Но автоматической страховки от любой доверчивости не будет. Если и банк, и оператор выполнили все требования, а клиент всё равно сам передал код, пароль или перевёл деньги, компенсация ему не положена.

Параллельно власти дорабатывают систему «Антифрод». Банки, операторы и ведомства будут автоматически обмениваться данными о подозрительных номерах.

В базу могут попадать телефоны, с которых рассылают фальшивые сообщения от имени «Госуслуг» или ведут незаконные массовые обзвоны. Для ошибочно внесённых номеров предусмотрят процедуру удаления.

RSS: Новости на портале Anti-Malware.ru