Десктопные версии Telegram, OpenOffice и др. содержали баг одного клика

Десктопные версии Telegram, OpenOffice и др. содержали баг одного клика

Десктопные версии Telegram, OpenOffice и др. содержали баг одного клика

Исследователи обнаружили множество уязвимостей в популярных приложениях, допускающих выполнение произвольного кода в системах пользователей всего лишь с помощью одного клика. Именно поэтому такие бреши получили неформальное имя «уязвимости одного клика» (one-click vulnerabilities).

Проблемы безопасности выявили специалисты компании Positive Security — Фабиан Броенляйн и Лукас Ойла. Оказалось, что баги затрагивают всем известные приложения: Telegram, Nextcloud, VLC, LibreOffice, OpenOffice, Bitcoin/Dogecoin Wallets, Wireshark и Mumble и т. п.

«Десктопные приложения, позволяющие операционной системе открывать URL от пользователя, содержат уязвимость выполнения кода. Для эксплуатации требуется взаимодействие с жертвой», — объясняют специалисты.

«Добиться запуска произвольного кода можно с помощью ссылки на вредоносный исполняемый файл (.desktop, .jar, .exe, и т. п.), расположенный в Сети. Также злоумышленник может задействовать дополнительную дыру в открытом URI-обработчике софта».

Другими совами, баги существуют благодаря недостаточной валидации ввода URL, открываемых с участием операционной системы. В определённых условиях это приводит к непреднамеренному запуску вредоносного файла.

Как отметили исследователи из Positive Security, многие десктопные приложения не смогли провести корректную валидацию ссылок.

 

К счастью, в большинстве приложений эти уязвимости уже устранены, так что пользователям остаётся лишь следить за выходящими версиями и регулярно обновлять установленный софт. Эксперты привели список затронутых проблемами программ:

  • Nextcloud - уязвимость (CVE-2021-22879) устранена в версии 3.1.3 десктопного клиента (выпущена 24 февраля).
  • Telegram - брешь пропатчили 10 февраля.
  • VLC Player - уязвимость устранили в версии 3.0.13 (должна прийти пользователям на следующей неделе).
  • OpenOffice - патчи ещё не вышли (CVE-2021-30245).
  • LibreOffice - дыру устранили в Windows, но она осталась в Xubuntu (CVE-2021-25631).
  • Mumble - патч вышел с версией 1.3.4 — 10 февраля (CVE-2021-27229).
  • Dogecoin - патч вышел с версией 1.14.3 — 28 февраля.
  • Bitcoin ABC - патч вышел с версией 0.22.15 — 9 марта.
  • Bitcoin Cash - патч вышел с версией 23.0.0.
  • Wireshark - патч вышел с версией 3.4.4 — 10 марта (CVE-2021-22191).
  • WinSCP - патч вышел с версией 5.17.10 — 26 января (CVE-2021-3331).
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Россия в лидерах по утечкам медданных: обошли всех, кроме США

Россия вышла на второе место в мире по числу утечек данных из медицинских организаций — уступаем только США. По данным исследования ЭАЦ InfoWatch, за первое полугодие 2025 года в нашей стране зафиксировали 8,1% всех подобных инцидентов в мире. Для сравнения: на США пришлось 55,8%, а на Индию — 4,1%.

Если смотреть на динамику, картина тревожная: в январе–июне в России было зарегистрировано 14 утечек в медучреждениях.

Это на 12,5% меньше, чем год назад за тот же период, но уже на 16,7% больше, чем во второй половине 2024-го. То есть скорость роста снова увеличилась.

Особый момент — каждый пятый инцидент (21,4%) связан с внутренними нарушителями. В мире этот показатель почти в десять раз ниже — всего 2,3%.

Эксперты предупреждают: год ещё не закончился, и статистика может сильно ухудшиться. В июле, например, атаковали сеть медицинских клиник в Москве и две крупные аптечные сети.

Роскомнадзор признаков утечек не нашёл, но, если хакеры всё-таки получили доступ к данным, они могут использовать их, чтобы дополнять базы пациентов — вплоть до информации о том, какие лекарства и когда покупал человек.

Что именно утечёт, тоже имеет значение. Помимо привычных персональных данных (ФИО, адрес, телефон), в медицине под угрозой и врачебная тайна: факты обращения за помощью, диагнозы, результаты обследований и лечения. Если такие сведения попадут к злоумышленникам, последствия для пациентов могут быть очень серьёзными — от давления до откровенного шантажа.

Для самих медорганизаций это тоже удар: проблемы в обслуживании, штрафы, приостановка работы и даже банкротство. Поэтому, говорят в InfoWatch, сегодня больницам и клиникам жизненно важно иметь чёткий план реагирования на киберинциденты, регулярно тренировать персонал, проводить киберучения и выстраивать проактивную систему защиты. А ещё — рассматривать страхование киберрисков, чтобы минимизировать ущерб, если неприятность всё же случится.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru