Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Баг Chrome, Opera, Edge позволял выкрасть данные миллиарда пользователей

Новая уязвимость в браузерах, основанных на Chromium, позволяет обойти дополнительный уровень безопасности Content Security Policy (CSP). В результате данные посетителей сайтов находятся в зоне риска, поскольку злоумышленники могут выкрасть их, а также выполнить вредоносный код.

Получивший идентификатор CVE-2020-6519 баг затрагивает Chrome, Opera и Edge для операционных систем Windows, macOS и Android. По словам Гала Уэйзмана, исследователя из PerimeterX, в опасности находятся около миллиарда пользователей браузеров.

Что касается конкретно Chrome — самого популярного на сегодняшний день браузера — уязвимость CVE-2020-6519 угрожает версиям Chrome 73-83. К счастью, вышедший в июле Chrome 84 устраняет брешь.

Уровень защиты CSP, который позволяет обойти описанный баг, предназначен для защиты посетителей сайтов от атаки вида XSS и от вредоносных инъекций. Благодаря CSP администраторы ресурсов могут обозначить безобидные домены, с которых браузер будет запускать скрипты.

«Если мы говорим о возможности обхода Content Security Policy (CSP), стоит учитывать, что данные пользователей находятся в зоне риска», — объясняет в отчёте Уэйзман.

Многие крупные онлайн-проекты используют CSP: ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo и Zoom.

Для успешной атаки злоумышленник должен модифицировать JavaScript. Этого можно добиться через атаку на веб-сервер (например, с помощью брутфорса паролей). Далее атакующий спокойно проведёт инъекцию кода в обход CSP.

Поскольку эксплуатация бага возможна лишь после прохождения аутентификации (взлома паролей), уязвимости присвоили среднюю степень риска. Однако Уэйзман подчёркивает, что такие атаки могут иметь серьёзные последствия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Платформа Security Vision внесена в Реестр ИИ-решений ЦИТ

Платформа Security Vision, которая используется для автоматизации процессов информационной безопасности, включена в Реестр ИИ-решений Федерального государственного автономного учреждения «Цифровые индустриальные технологии» (ЦИТ).

ЦИТ является одним из ключевых экспертных центров Минпромторга России в области цифровизации промышленности.

Здесь разрабатываются методические рекомендации, аналитика и проекты, направленные на поддержку цифровой трансформации предприятий. Внесение Security Vision в официальный реестр означает, что решение прошло необходимые проверки и подтверждено как использующее технологии искусственного интеллекта для решения задач кибербезопасности.

По данным разработчиков, в платформе применяются ИИ-механизмы для автоматизации рутинных процессов в области защиты информации. Речь идёт о выявлении и анализе инцидентов, управлении уязвимостями, повышении эффективности работы специалистов и ускорении реакции на киберугрозы.

Такой подход позволяет предприятиям более оперативно выявлять потенциальные атаки, распределять ресурсы и обеспечивать устойчивую защиту критически важных систем.

Отдельное внимание уделяется промышленным предприятиям, где цифровизация идёт ускоренными темпами, а нагрузка на службы информационной безопасности постоянно растёт.

Использование ИИ-инструментов в таких условиях рассматривается как один из способов адаптироваться к изменяющемуся ландшафту угроз и поддерживать необходимый уровень киберустойчивости.

Напомним, на днях мы сообщали, что платформа Security Vision и модули, созданные на её основе, прошли сертификацию ФСТЭК России. Сертификат соответствия № 4964 от 19 августа 2025 года подтверждает, что решение отвечает требованиям по 4-му уровню доверия, включая контроль отсутствия недекларированных возможностей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru