Баг на сайте Ford раскрывал данные клиентов и сотрудников

Баг на сайте Ford раскрывал данные клиентов и сотрудников

Баг на сайте Ford раскрывал данные клиентов и сотрудников

Баг на официальном сайте производителя автомобилей Ford Motor открывал конфиденциальные данные, которые мог собрать любой желающий. Среди доступной информации были базы данных клиентов, сведения о сотрудниках и т. п.

Причина бага крылась в неправильной конфигурации системы Pega Infinity, предназначенной для привлечения клиентов. Именно эта система была запущена на серверах Ford.

На брешь наткнулись исследователи в области кибербезопасности, изучавшие официальный сайт Ford. По их словам, баг позволял не только получить доступ к конфиденциальным данным корпорации, но и завладеть контролем над аккаунтами в системе.

Подробности уязвимости, получившей идентификатор CVE-2021-27653, рассказали эксперты Роберт Уиллис и break3r. Также информация относительно дыры появилась на сайте Pega Infinity.

Исследователи сняли множество скриншотов внутренних систем и баз данных Ford, чем поделились с изданием BleepingComputer. Например, один из скриншотов демонстрирует систему электронных запросов производителя автомобилей.

 

Для эксплуатации уязвимости потенциальному атакующему сначала надо получить доступ к бекенд-панели некорректно настроенного портала Pega Chat Access Group:

https://www.rpa-pega-1.ford.com/prweb/PRChat/app/RPACHAT_4089/
bD8qH******bIw4Prb*/!RPACHAT/$STANDARD...

Различные параметры URL позволяют злоумышленникам выполнять запросы, получать таблицы баз данных, токены доступа OAuth и осуществлять действия с правами администратора. В отдельных случаях атакующие могли получить доступ к персональным данным.

Подпишитесь на новости

Google Play Store готовит отдельный раздел для приложений, созданных ИИ

Google, похоже, решила превратить вайб-кодинг из развлечения для энтузиастов в полноценный конвейер Android-приложений. В коде Play Store обнаружили новый раздел Your creations, где пользователи смогут находить проекты, созданные с помощью Google AI Studio.

Следы функции появились в версии Google Play 53.2.23-34. Новый пункт размещён на экране Manage apps & device и ведёт к персональной коллекции ИИ-приложений. Пока кнопка Try it now просто открывает мобильную версию AI Studio в браузере.

О находке сообщает Android Authority, изучившая код приложения. Авторы предполагают, что позднее ссылка может вести в Gemini: Google ранее отказалась от отдельного мобильного клиента AI Studio и решила встроить его инструменты создания приложений прямо в своего ИИ-ассистента.

 

 

Сейчас разработанный в AI Studio проект можно выгрузить и установить вручную либо отправить в Google Play через Play Console. Второй путь требует регистрации разработчика, тестирования и прохождения стандартной процедуры публикации. Your creations может стать промежуточным вариантом — аккуратным каталогом личных экспериментов.

Интерфейс также упоминает возможность поделиться со всеми. Вот здесь начинается самое интересное: пока непонятно, смогут ли другие пользователи устанавливать такие приложения и придётся ли ИИ-самоделкам проходить обычную проверку Play Store.

Если Google действительно упростит публичное распространение, компании придётся разобраться с разрешениями, вредоносным кодом, копированием чужих проектов и авторами, которые понятия не имеют, что именно сгенерировала нейросеть.

Функция пока не запущена, а Google её официально не анонсировала. APK-разбор показывает лишь экспериментальный интерфейс, который может измениться или исчезнуть.

RSS: Новости на портале Anti-Malware.ru