Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Брешь в VirusTotal позволяла получить доступ к внутренним хостам Google

Исследователи в области кибербезопасности выявили уязвимость в платформе VirusTotal, которую можно использовать для удалённого выполнения вредоносного кода и получения доступа к внутренним системам. В настоящее время брешь уже получила свой патч.

По словам специалистов компании Cysource, с помощью обнаруженного бага условные киберпреступники могли «удалённо выполнить команды на VirusTotal и получить доступ к отдельным возможностям платформы для сканирования подозрительных файлов».

Вектор атаки подразумевает, что злоумышленник должен загрузить файл в формате DjVu через пользовательский веб-интерфейс VirusTotal, после чего происходила эксплуатация уязвимости в утилите с открытым исходным кодом ExifTool.

 

Упомянутая брешь отслеживается под идентификатором CVE-2021-22204 и получила 7,8 балла по шкале CVSS. Интересно, что эту уязвимость разработчики закрыли ещё 13 апреля 2021 года. Тем не менее последствия эксплуатации бага приводили не только к доступу в системы Google (владеет VirusTotal), но и открывали дорогу более чем к 50 хостам (причём доступ открывался с высокими правами).

 

«Забавный факт: каждый раз, когда мы загружали файл с новым хешем и пейлоадом, VirusTotal отправлял этот пейлоад другим хостам. Таким образом, у нас в руках были не только возможности удалённого выполнения кода, но и сама нагрузка отправлялась внутренней сети Google, её клиентам и партнёрам», — объясняют исследователи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Функция семейного доступа на iPhone используется бывшими для абьюза

Гражданка США рассказала, как функция семейного доступа (Apple Family Sharing), созданная для удобного управления устройствами внутри семьи, может использоваться бывшими партнёрами для контроля и психологического давления.

По словам женщины (в публикации Wired её называют Кейт), после развода её бывший муж, который создал семейную группу Apple, использовал сервис, чтобы отслеживать местоположение детей, контролировать их экранное время и вводить ограничения — даже в те дни, когда дети находились с матерью по решению суда.

Проблема в том, что Family Sharing даёт полные права только одному пользователю — «организатору». Остальные члены семьи, включая второго родителя, не могут изменить настройки или вывести детей из группы без его согласия.

Даже при наличии судебного решения о передаче опеки Apple не может вмешаться: сотрудники поддержки лишь сочувствуют, но признают, что технически ничего сделать нельзя.

Совет, который обычно дают в таких случаях, — создать новые Apple ID и начать всё заново. Но это означает потерю не только покупок, но и личных фотографий и видео, накопленных за годы.

Эксперты и пользователи уже давно критикуют отсутствие в системе роли второго администратора, что делает сервис уязвимым в ситуациях развода или конфликта. Как отмечает Wired, история Кейт — не единичный случай. Apple на запрос журналистов комментировать проблему отказалась.

Даже при наличии судебного решения о передаче опеки Apple не может вмешаться: сотрудники поддержки лишь сочувствуют, но признают, что технически ничего сделать нельзя.

Совет, который обычно дают в таких случаях, — создать новые Apple ID и начать всё заново. Но это означает потерю не только покупок, но и личных фотографий и видео, накопленных за годы.

Эксперты и пользователи уже давно критикуют отсутствие в системе роли второго администратора, что делает сервис уязвимым в ситуациях развода или конфликта. Как отмечает Wired, история Кейт — не единичный случай. Apple на запрос журналистов комментировать проблему отказалась.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru