Google пропатчил XSS в Google Maps со второго раза

Google пропатчил XSS в Google Maps со второго раза

Google пропатчил XSS в Google Maps со второго раза

Разработчики Google устранили XSS-уязвимость в Google Maps. Об этой проблеме безопасности интернет-гиганту сообщил исследователь через программу поиска уязвимостей, за что получил причитающееся вознаграждение.

Уязвимость в Google Maps описал в своём блоге эксперт Зохар Шачар. Как объяснил специалист, это брешь межсайтового скриптинга, существующая из-за некорректной обработки функций экспорта.

Как известно, сервис от Google позволяет экспортировать карту в различных форматах, один из которых — KML. В нём используется основанная на тегах структура, а его «родителем» является XML.

По словам Шачара, в этом формате карта сохраняется с открытым тегом CDATA. Если добавить туда специальные символы «]]>», можно подсунуть произвольный XML-контент, приводящий к XSS.

Исследователь сразу же сообщил об ошибке представителям Google.

 

Однако разработчикам корпорации не сразу удалось устранить уязвимость. После того, как Google отписался, что уязвимости больше нет, Шачар решил убедиться в этом сам. К своему изумлению, эксперт обнаружил крайне простой способ обхода патча.

За каждый баг исследователь заработал $5 тыс. (в общей сложности — $10 тысяч).

Анонимные злоумышленники взломали сайт Микорд

Неизвестные злоумышленники заявили о взломе инфраструктуры компании «Микорд», которую они назвали одним из ключевых разработчиков реестра воинского учета. На сайте компании сейчас размещена заглушка о технических работах. Сообщения о взломе уже распространили ряд зарубежных русскоязычных СМИ и телеграм-каналов.

Однако первоисточником оказался правозащитный проект «Идите лесом», признанный Минюстом иноагентом. Именно ему злоумышленники передали часть данных, якобы полученных с сайта «Микорда».

По утверждению взломщиков, они находились в инфраструктуре компании несколько месяцев и смогли получить доступ к исходным кодам, внутренней документации, включая техническую, а также к почтовым базам.

Генеральный директор «Микорда» Рамиль Габдрахманов подтвердил факт кибератаки латвийскому онлайн-изданию «Важные новости» (признано иноагентом; его издатель IStories fonds внесён в список нежелательных организаций). При этом он отрицал связь «Микорда» с разработкой реестра воинского учета.

Минобороны России опровергло информацию о взломе реестра: «Появившиеся в сети сообщения о якобы взломе реестра воинского учета не соответствуют действительности. Реестр функционирует в штатном режиме. Утечки персональных данных граждан из него исключены».

Сайт Реестра повесток на момент публикации новости доступен.

RSS: Новости на портале Anti-Malware.ru