В IoT-протоколе DDS, который использует НАСА, нашли дыры разных классов

В IoT-протоколе DDS, который использует НАСА, нашли дыры разных классов

В IoT-протоколе DDS, который использует НАСА, нашли дыры разных классов

По словам специалистов в области кибербезопасности, протокол Data Distribution Service (DDS) содержит ряд уязвимостей, эксплуатация которых может сыграть на руку злоумышленникам. Напомним, что этот IoT-протокол используют НАСА, Siemens и Volkswagen.

DDS разрабатывает организация Object Management Group (OMG), этот протокол является связующим ПО (middleware) и API-стандартом для обмена данными. DDS, как правило, рекомендуют использовать для корпоративных IoT-систем, имеющих критически важное значение.

DDS используется, например, в общественном транспорте, при управлении воздушным движением, в аэрокосмической сфере, медицинских устройствах, а также для военной промышленности (например, ракетные установки).

На сегодняшний день есть две имплементации протокола — с открытым и закрытым исходным кодом, включая ADLINK, Eclipse (CycloneDDS), eProsima (Fast DDS), OCI (OpenDDS), TwinOaks Computing (CoreDX DDS), Gurum Networks (GurumDDS) и RTI (Connext DDS).

Исследователи из Trend Micro, TXOne Networks и Alias Robotics изучили этот стандарт в вышеупомянутых формах и обнаружили в общей сложности более десяти уязвимостей. Подробности проблем в безопасности специалисты представили на конференции Black Hat Europe 2021.

Например, эксперты отметили некорректный способ обработки невалидной структуры, возможность переполнения буфера, сетевую амплификацию и тому подобное. Злоумышленники могут использовать эти баги для DoS-атак, выполнения вредоносного кода или получения конфиденциальной информации.

Агентство по кибербезопасности и защите инфраструктуры (CISA) США выпустило уведомление, в котором организации предупреждаются об уязвимостях DDS. Согласно опубликованной информации, в настоящее время доступны патчи для CycloneDDS, FastDDS, OpenDDS, Connext DDS и CoreDX DDS.

В Microsoft Edge пропала настройка для Chrome-расширений

Microsoft незаметно упростила установку расширений из Chrome Web Store в браузере Edge — и при этом убрала знакомый многим переключатель в настройках. Речь идёт о пункте «Разрешить расширения из других магазинов», который существовал в Edge с момента перехода браузера на Chromium.

Раньше пользователю нужно было явно включить этот тумблер в настройках, прежде чем ставить расширения из магазина Google.

Это было понятное и прозрачное действие: Edge прямо показывал, что вы разрешаете установку расширений не из Microsoft Store. Теперь этот переключатель просто исчез.

Сначала изменение заметили в тестовой версии Edge Canary, а теперь оно дошло и до стабильного релиза. Причём одинаково — и для аутентифицированных аккаунтов Microsoft, и для локальных профилей.

При этом важно, что расширения из Chrome Web Store по-прежнему устанавливаются и работают без ограничений. Они отображаются в списке расширений как установленные «из других источников», но никакого запроса, предупреждения или отдельного разрешения Edge больше не показывает.

Ссылка на Chrome Web Store внизу страницы расширений тоже никуда не делась — пользовательский путь остался прежним, изменился только контроль.

Microsoft официально никак не комментировала это нововведение и не упоминала его в списках изменений Edge. Для внимательных пользователей исчезновение настройки выглядит неожиданно: элемент, который годами считался частью управления безопасностью, пропал без объяснений.

Фактически Edge теперь воспринимает совместимость с Chrome Web Store как встроенную и само собой разумеющуюся функцию, а не как опцию, которую нужно осознанно включать. С одной стороны, это упрощает жизнь тем, кто активно пользуется Chrome-расширениями. С другой — меняет саму логику согласия и контроля внутри браузера.

Заметят это не все. Скорее всего, большинство пользователей обнаружат перемены только тогда, когда в очередной раз зайдут в настройки и не найдут привычный пункт.

На данный момент Microsoft ситуацию не поясняла — ни публичных заявлений, ни документации по изменению поведения Edge пока нет.

RSS: Новости на портале Anti-Malware.ru