В Zoom Whiteboard нашли уязвимость, позволяющую провести XSS-атаку

В Zoom Whiteboard нашли уязвимость, позволяющую провести XSS-атаку

В Zoom Whiteboard нашли уязвимость, позволяющую провести XSS-атаку

Раскрыты подробности хранимой XSS-уязвимости, работающей и в десктопном, и в веб-приложении Zoom Whiteboard. Соответствующий патч был создан менее чем за месяц и вышел в августе.

Уязвимость обнаружил ИБ-исследователь Юджин Лим (Eugene Lim), известный в Сети под ником spaceraccoon. Причиной появления проблемы является некорректная санация пользовательского ввода; эксплойт сложен в исполнении, однако автору находки удалось обойти штатную проверку и внедрить свой JavaScript-код в страницу по методу межсайтового скриптинга.

Продукт Zoom Whiteboard, предназначенный для коллективной работы в реальном времени, предоставляет пользователям общую виртуальную доску с возможностью добавления и редактирования объектов: текста, фигур, картинок, записок-стикеров. Для работы с веб-страницей необходим браузер или десктопное приложение с поддержкой JavaScript.

За хранение и передачу объектов в Whiteboard отвечает разработанный в Google механизм Protocol Buffers (protobuf). С его помощью производится обновление доски; для трансляции объектов на подключенные клиенты он использует протокол WebSocket.

При получении такого сообщения клиентское приложение преобразует protobuf-объект в соответствующий компонент React и вставляет его в страницу (UI). При этом JavaScript-библиотека React по умолчанию очищает все атрибуты HTML, оставляя лишь разрешенные теги.

Для некоторых объектов очистка производится с помощью кастомных regex-функций, реализация которых, как выяснилось, далека от совершенства. В итоге Лиму удалось найти способ обойти санацию для рассылки произвольного JavaScript и проведения XSS-атаки.

В комментарии для The Daily Swig исследователь пояснил, что задачу в данном случае осложняет использование protobuf-формата. Для успешного эксплойта необходимо перехватить запрос WebSocket и корректно изменить protobuf-сообщение до того, как запрос будет сброшен. Чтобы преодолеть это препятствие, эксперт написал PoC-скрипт, использующий объект Сlipboard для создания и доставки полезной нагрузки — триггера XSS.

Мошенники крадут личности туристов для обмана других путешественников

Облюбовавшие Telegram мошенники предлагают аренду жилья российским любителям отдыха за рубежом, используя ранее украденные личные данные других обманутых туристов. Тренд уже приобрел массовый характер.

Целью данной аферы является отъем денег под предлогом оплаты брони. Очередное свидетельство подобного мошенничества представлено в телеграм-канале «База».

Задумав поездку в Таиланд, жительница Тулы Анастасия обратилась за помощью к менеджеру из контактов Дарьи Ловчевой. Та предложила несколько вариантов проживания в Пхукете и посоветовала почитать отзывы в созданной ею профильной группе.

После выбора претендентка скинула свои паспортные данные и внесла предоплату в размере 30%. Когда ей сообщили о необходимости уплаты еще 50% стоимости аренды, россиянка заподозрила подвох и потребовала возврат, однако собеседница исчезла из чата.

Как выяснилось, мошеннический сервис гостеприимства объявился в мессенджере в результате кражи личности Дарьи Логачевой, совершенной при аналогичном бронировании тайского жилья. Новоявленная туристка из Тулы теперь переживает, что ее данные тоже могут быть использованы для обмана других путешественников.

Схожим образом злоумышленники крадут деньги у желающих отдохнуть во Вьетнаме, Франции, Италии, Индонезии. Менее изощренные мошеннические схемы, ориентированные на туристов, обычно используют обзвон либо фишинговые сайты, активно плодящиеся перед долгими праздниками и в сезон летних отпусков.

RSS: Новости на портале Anti-Malware.ru