В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

Файрвол уровня веб-приложений от Cloudflare (Web Application Firewall, WAF) содержит серьёзный изъян, позволяющий обойти меры защиты от межсайтового скриптинга (XSS). Эксплойт для этой уязвимости известен с 2019 года, однако брешь по сей день остаётся непропатченной.

Согласно информации на официальном сайте, Cloudflare WAF защищает 25 миллионов веб-ресурсов. Тем опаснее способ обхода правил, о котором на днях рассказали исследователи.

Как правило, Cloudflare WAF отражает атаки злоумышленников, которые хотят использовать уязвимости вроде SQL-инъекции, межсайтового скриптинга (XSS), DoS и прочие известные лазейки. Например, специально созданный вредоносный HTTP-запрос, начинённый XSS- или SQLi-эксплойтом, будет немедленно заблокирован Cloudflare ещё до того, как он достигнет сайта.

Однако всего лишь небольшая модификация эксплойта может позволить атакующим обойти фильтры Cloudflare и попасть на целевой сайт. По крайней мере, об этом сообщают исследователи в области кибербезопасности.

Например, Джексон Генри, занимающийся поиском уязвимостей и известный под псевдонимом «CVE-JACKSON-133», рассказал, что ему удалось создать HTML-тег SVG и с его помощью запустить XSS-эксплойт на защищённом Cloudflare веб-сайте.

Продемонстрированный Генри пейлоад по функциональности не сложнее банального <svg onload=alert("1")>, однако исследователь смог добавить несколько закодированных символов и обойти защитный барьер WAF.

Генри отметил, что конкретно этот метод обхода защиты от межсайтового скриптинга известен как минимум с 4 июня 2019 года, когда о нём впервые сообщил другой эксперт — Бодан Коржинский. В сентябре 2020 года Коржинский повторно предупредил об актуальности проблемы безопасности.

Теперь остаётся ждать патча от Cloudflare и надеяться, что он придёт достаточно оперативно. В противном случае миллионы веб-сайтов будут под угрозой.

В Android появится блокировка приложений по отпечатку и ПИН-коду

Google наконец решает одну из самых бытовых проблем безопасности, когда даёшь кому-то свой смартфон на минуту, а внутри у тебя половина жизни. В свежей сборке Android Canary 2603 появилась функция App Lock — возможность поставить дополнительную защиту на любое приложение.

Теперь, чтобы открыть, например, галерею, мессенджер или банковское приложение, потребуется отпечаток пальца или ПИН-код.

Функционально всё работает просто: достаточно зажать иконку приложения, и в выпадающем меню появится опция блокировки. После включения App Lock приложение нельзя открыть без аутентификации, уведомления от него скрываются, виджеты исчезают с рабочего стола, пропадают быстрые ярлыки.

 

По сути, приложение становится полностью «невидимым» без разблокировки. Google сразу предупреждает: если пользователь дал доступ к данным приложения каким-то ИИ-агентам или сервисам, они всё равно смогут к ним обращаться.

Пока неясно, можно ли, например, обойти защиту через тот же Gemini, но сам факт такого ограничения уже вызывает вопросы.

С Android 15 у Google уже есть функция Private Space — отдельный скрытый профиль, куда можно убирать приложения и данные. Но она подходит скорее для жёсткой изоляции.

App Lock — более гибкий вариант, поскольку не нужно не нужно прятать всё приложение, достаточно просто закрыть к нему доступ.

Если функция доберётся до релиза, это может сильно изменить повседневный сценарий использования смартфона. Его можно будет спокойно передать другому человеку, не переживая за личные данные.

RSS: Новости на портале Anti-Malware.ru