Баг Microsoft Edge позволял внедрить вредоносный код в любую веб-страницу

Баг Microsoft Edge позволял внедрить вредоносный код в любую веб-страницу

Баг Microsoft Edge позволял внедрить вредоносный код в любую веб-страницу

На прошлой неделе Microsoft выкатила обновления для Edge, в котором можно отметить патчи для двух опасных уязвимостей. Специалисты особенно выделяют одну из дыр, позволяющую потенциальным злоумышленникам внедрить и выполнить произвольный код в контексте любого веб-сайта.

Эта брешь получила идентификатор CVE-2021-34506 и 5,4 баллов по шкале CVSS. В сущности, это UXSS (универсальный межсайтовый скриптинг), который можно воспроизвести с помощью встроенного в браузер переводчика веб-страниц.

О наличии CVE-2021-34506 сообщил исследователь в области кибербезопасности Игнасио Лоуренс из компании CyberXplore. Сам эксперт описывает проблему следующим образом:

«UXSS несколько отличается от привычных нам XSS-атак, поскольку в случае универсального межсайтового скриптинга эксплуатируются уязвимости в браузере (либо в расширениях для браузера) на стороне клиента. Основная цель атакующего в этом случае — выполнить вредоносный код».

 

«В случае подобной эксплуатации затронут сам принцип работы браузера, а это значит, что его защитные функции можно обойти или отключить».

Специалисты выявили часть уязвимого кода во встроенном переводчике Edge. Оказалось, что функция не обрабатывает должным образом ввод. В этом случае у злоумышленников появляется возможность внедрить вредоносный JavaScript-код в любую область страницы.

Команда CyberXplore предоставила код демонстрационного эксплойта (proof-of-concept, PoC) и записала видеоролик, на котором наглядно видна эксплуатация бреши.

Пенсионеры смогут подтверждать право на скидки в магазинах через MAX

Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.

Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.

В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.

«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».

Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).

Возможность использования MAX для подтверждения возраста в России закреплена законом. Создаваемый в мессенджере цифровой ID разрешено применять с этой целью наравне с бумажными документами, и ретейлеры уже начали осваивать это новшество при продаже товаров 18+.

RSS: Новости на портале Anti-Malware.ru