Баг Android-версии позволял контролировать Firefox в одной Wi-Fi-сети

Баг Android-версии позволял контролировать Firefox в одной Wi-Fi-сети

С помощью уязвимости в Android-версии Firefox потенциальный злоумышленник мог получить контроль над браузерами, находящимися с ним в одной Wi-Fi-сети, а также  заставить пользователей перейти на вредоносные и фишинговые сайты. Mozilla уже пропатчила этот баг.

Брешь в Firefox выявил Крис Моберли, австралийский исследователь в области кибербезопасности, работающий на проекте GitLab.

Сама проблема кроется в компоненте браузера SSDP (Простой протокол обнаружения сервисов), именно с его помощью Firefox находит другие устройства в той же сети. Это удобно в том случае, когда нужно поделиться контентом.

Когда Firefox обнаруживает другой девайс, SSDP получает местоположение XML-файла, в котором хранится конфигурация устройства. Однако, по словам Моберли, в старых версиях Firefox можно было скрывать команды Android «Intent» в этом XML, а браузер мог их выполнить — например, перейти по ссылке.

Специалист описал следующий способ эксплуатации уязвимости: атакующий, находясь в аэропорту или торговом центре, подключается к сети Wi-Fi и запускает на ноутбуке скрипт, заваливающий сеть вредоносными SSDP-пакетами.

Любой владелец Android-устройства, использующий для веб-сёрфинга Firefox, в случае такой атаки будет перенаправлен на тот URL, который нужен злоумышленнику. Более того, с помощью этого же сценария можно установить злонамеренное расширение для браузера.

Моберли опубликовал рабочий PoC-код, с помощью которого можно использовать вышеописанный вектор атаки. Также эксперт опубликовал видео, демонстрирующее эксплуатацию бреши.

С выходом Firefox 79 Mozilla устранила уязвимость, однако ещё не все пользователи успели установить эту версию браузера.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Mastercard готовит запуск биометрической карты F.CODE Easy

Оператор платежной системы Mastercard готовит к пробным испытаниям банковскую карту F.CODE Easy, использующую отпечатки пальцев для подтверждения прав на транзакцию в платежных терминалах магазинов. Стартующий в Азии пилотный проект призван повысить удобство, надежность и безопасность платежей, а также сократить количество точек, к которым владельцам карт приходится прикасаться в общественных местах.

Разработчиком новой смарт-карты является компания IDEMIA, известный производитель систем биометрической идентификации. Проект F.CODE Easy был реализован в соответствии с техническими требованиями, которые выставили в Mastercard.

В отличие от устоявшейся практики, идентификаторы владельца вшиты в чип карты, а не хранятся в централизованной базе. Батареи для датчика отпечатков пальцев F.CODE Easy не предусматривает, он питается за счет платежных терминалов. Новинка получила сертификат соответствия стандартам ISO, в том числе по безопасности.

Выпуск пилотных биометрических карт будет осуществлять компания MatchMove, поставщик банковских услуг в Сингапуре. Специалисты IDEMIA пообещали предоставить эмитенту полный набор услуг, позволяющий клиентам записаться добровольцами, не выходя из дома.

По замыслу участников проекта, первыми пользователями F.CODE Easy станут их собственные сотрудники, которые попытаются провести платеж в терминале и станут звездами демо-трансляции для потенциальных клиентов.

«В условиях всеобщего перехода на бесконтактные транзакции эта биометрическая карта предоставит больше выбора потребителю и поможет повысить безопасность», — объясняет Мэтью Драйвер (Matthew Driver), вице-президент Mastercard по управлению продукцией и услугами в Азиатско-Тихоокеанском регионе.

Согласно результатам опроса, проведенного Mastercard в разных странах, две трети потребителей не считают переход на цифровые платежи временным явлением. Около половины опрошенных заявили, что планируют и впредь меньше пользоваться наличными — даже после того, как угроза заражения COVID-19 утратит свою актуальность.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru