Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

В общий доступ попали подробности уязвимости в Google Chrome и других браузерах, основанных на Chromium. В случае эксплуатации эта брешь позволяет выкрасть файлы, содержащие конфиденциальную информацию.

О баге рассказал исследователь из Imperva Рон Масас. По его словам, проблема кроется в том, как браузеры взаимодействуют с символическими ссылками при обработке файлов и директорий.

«Отмечу, что браузеры не проверяют должным образом, указывает ли символическая ссылка на локацию, которая изначально должна быть недоступна. Это приводит к тому, что атакующий может украсть важные файлы», — пишет специалист в отчёте.

В Google считают, что это проблема (CVE-2022-3656) средней степени риска. Интернет-гигант описывает её как «недостаточную проверку данных в File System». Патчи для этой дыры вышли с версиями 107 (октябрь 2022 года) и 108 (ноябрь 2022-го).

Уязвимость даже получила собственное имя — SymStealer. Анализ Imperva показал: когда пользователь перетаскивает (Drag-and-drop) директорию на элемент ввода файла, браузер рекурсивно разрешает все символические ссылки без каких-либо предупреждений.

В условной атаке злоумышленник может обманом заманить пользователя на вредоносный сайт и заставить его загрузить ZIP-архив, содержащий символическую ссылку на целевой файл или папку (например, на файл с учётными данными или информацией о криптокошельке).

Подпишитесь на новости

Росфинмониторинг не ждёт массовых блокировок счетов из-за совпадения данных

Росфинмониторинг опроверг сообщения о возможной волне блокировок банковских счетов из-за частичного совпадения данных клиентов со сведениями о лицах, чьи активы подлежат заморозке. В ведомстве уверяют: законопроект не должен превратить однофамильцев в заложников банковского антифрода.

Поводом для разъяснений стала информация о подготовке новых правил, позволяющих финансовым организациям реагировать не только на полное, но и на частичное совпадение данных клиента с записями в соответствующих перечнях.

Как сообщил Росфинмониторинг, критерии частичного совпадения пока не определены. Их установят отдельным приказом только после принятия федерального закона и анализа реальных случаев.

Обычно проблема возникает из-за разных вариантов написания имени и фамилии при транслитерации, а не потому, что у двух Ивановых внезапно обнаружилась общая финансовая биография.

Ведомство отдельно подчеркнуло, что законопроект предусматривает временное приостановление операции, а не автоматический отказ в её проведении или бессрочную блокировку всего счёта. Поэтому массовой заморозки денег добросовестных граждан там не ожидают.

Ранее «Известия» сообщили, что новые критерии могут вызвать всплеск ложных срабатываний: под ограничения рискуют попасть клиенты, чьи данные лишь частично совпали с информацией о лицах из санкционных и террористических перечней.

Пока главный заключается в том, насколько широко Росфинмониторинг определит это самое частичное совпадение.

RSS: Новости на портале Anti-Malware.ru