Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Исследователи в области кибербезопасности выявили уязвимость в платформе VirusTotal, которую можно использовать для удалённого выполнения вредоносного кода и получения доступа к внутренним системам. В настоящее время брешь уже получила свой патч.

По словам специалистов компании Cysource, с помощью обнаруженного бага условные киберпреступники могли «удалённо выполнить команды на VirusTotal и получить доступ к отдельным возможностям платформы для сканирования подозрительных файлов».

Вектор атаки подразумевает, что злоумышленник должен загрузить файл в формате DjVu через пользовательский веб-интерфейс VirusTotal, после чего происходила эксплуатация уязвимости в утилите с открытым исходным кодом ExifTool.

 

Упомянутая брешь отслеживается под идентификатором CVE-2021-22204 и получила 7,8 балла по шкале CVSS. Интересно, что эту уязвимость разработчики закрыли ещё 13 апреля 2021 года. Тем не менее последствия эксплуатации бага приводили не только к доступу в системы Google (владеет VirusTotal), но и открывали дорогу более чем к 50 хостам (причём доступ открывался с высокими правами).

 

«Забавный факт: каждый раз, когда мы загружали файл с новым хешем и пейлоадом, VirusTotal отправлял этот пейлоад другим хостам. Таким образом, у нас в руках были не только возможности удалённого выполнения кода, но и сама нагрузка отправлялась внутренней сети Google, её клиентам и партнёрам», — объясняют исследователи.

Google и Apple упростили беспроводной переезд с iPhone на Android

Google и Apple упростили переход с iPhone на Android. Теперь пользователи смогут переносить на новый Android-смартфон не только фото, контакты и приложения, но и пароли, сообщения и даже расположение иконок на домашнем экране, причём без кабеля.

О нововведении Google рассказала в своём блоге. Интернет-гигант отметил, что работал над улучшением процесса совместно с Apple.

Раньше часть данных уже можно было переносить по беспроводной сети, однако для миграции сообщений с iPhone на Android обычно требовалось проводное подключение. Теперь Google заявляет о полноценном беспроводном переносе.

По словам корпорации, на Android-смартфон можно будет перенести пароли, фотографии, сообщения, контакты, любимые приложения и даже привычную раскладку домашнего экрана. Также поддерживается перенос eSIM.

Новый механизм сначала появится на устройствах Google Pixel и Samsung Galaxy уже в этом году. Позже поддержку, вероятно, получат и другие производители Android-смартфонов.

Google также объявила о расширении поддержки Quick Share — аналога AirDrop для Android. Функция станет доступна большему числу производителей устройств, а обмен файлами через Quick Share появится и в сторонних приложениях, включая WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России).

В целом Google и Apple постепенно делают переход между экосистемами менее болезненным. Если раньше смена iPhone на Android часто превращалась в долгую настройку с нуля, то теперь переезд всё больше напоминает обычное восстановление резервной копии.

RSS: Новости на портале Anti-Malware.ru