Фишеры используют дыры OAuth в реализации Microsoft и Google

Фишеры используют дыры OAuth в реализации Microsoft и Google

Фишеры используют дыры OAuth в реализации Microsoft и Google

Исследователи в области кибербезопасности обнаружили ранее неизвестные методы запуска кибератак с URL-редиректами на слабые имплементации OAuth 2.0. Такие атаки могут приводить к обходу средств детектирования фишинга и защиты электронной почты, а также внушать жертвам ложное чувство безопасности при посещении фишинговых страниц.

На проблемы в безопасности указали специалисты компании Proofpoint. По их словам, злоумышленники атакуют Outlook Web Access, PayPal, Microsoft 365 и Google Workspace, используя бреши в имплементации OAuth 2.0.

Кстати, уязвимостям протокола OAuth 2.0 мы посвятили аналитическую статью, в которой эксперт объясняет, опасно ли аутентифицироваться через профиль в соцсетях.

При разработке приложений с поддержкой OAuth девелоперы могут выбрать среди различных типов потоков, в зависимости от своих потребностей. На примере реализации от Microsoft можно посмотреть, как это взаимосвязано:

 

Потоки требуют от разработчика, чтобы тот определил конкретные параметры, среди которых уникальный идентификатор клиента и URL, на который будет перенаправляться пользователь после успешной аутентификации.

Как выяснили эксперты Proofpoint, атакующие могут модифицировать отдельные параметры в валидных потоках аутентификации. В итоге условный злоумышленник может организовать редирект жертвы на вредоносный сайт. Например, этого можно добиться изменением параметра запроса «response_type».

«Этот вектор атаки использует ряд сторонних приложений Microsoft 365 с вредоносными URL-редиректами, определёнными для каждого из таких приложений», — отмечают в отчёте исследователи.

Android 16 Beta сломала Quick Share с iPhone на смартфонах Pixel

Если вы недавно обновили свой Pixel до свежей беты Android 16 в надежде пощупать новые фишки, есть шанс, что вы уже столкнулись с неприятным сюрпризом. Судя по жалобам пользователей, в Android 16 QPR3 Beta 2 сломался Quick Share — причём именно та версия, которая должна работать с iPhone.

Google активно пытается подружить Android и iOS, и для владельцев Pixel это, конечно, хорошая новость.

Сначала поддержку «айфоновского» Quick Share показали на Pixel 10, а теперь начали тестировать её и на Pixel 9 через бета-обновления. Но, как выяснилось, переход оказался не самым гладким.

Пользователи на площадке Reddit пишут, что при попытке отправить файл Quick Share просто мгновенно вылетает. Причём речь идёт не о единичных сбоях — жалобы массовые, и профильные издания подтверждают, что проблема действительно распространённая. Похоже, именно в Android 16 QPR3 Beta 2 функция обмена файлами между Android и iPhone сейчас фактически не работает.

В целом ситуация отлично иллюстрирует, зачем беты вообще существуют. С другой стороны, сама функция действительно важная. Возможность без танцев с бубном передавать файлы между Pixel и iPhone — это то, чего пользователи ждали годами. И если уж чему-то и ломаться, то логичнее, чтобы это происходило именно на этапе бета-тестирования, а не в финальном релизе.

Если вы ещё не успели установить Android 16 QPR3 Beta 2 — лучше повременить. Особенно если вы часто делитесь файлами или используете Quick Share для работы. С неработающей передачей данных смартфон быстро превращается в источник раздражения.

RSS: Новости на портале Anti-Malware.ru