Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

Раскрыты детали бага Chromium-браузеров, позволяющего украсть важные данные

В общий доступ попали подробности уязвимости в Google Chrome и других браузерах, основанных на Chromium. В случае эксплуатации эта брешь позволяет выкрасть файлы, содержащие конфиденциальную информацию.

О баге рассказал исследователь из Imperva Рон Масас. По его словам, проблема кроется в том, как браузеры взаимодействуют с символическими ссылками при обработке файлов и директорий.

«Отмечу, что браузеры не проверяют должным образом, указывает ли символическая ссылка на локацию, которая изначально должна быть недоступна. Это приводит к тому, что атакующий может украсть важные файлы», — пишет специалист в отчёте.

В Google считают, что это проблема (CVE-2022-3656) средней степени риска. Интернет-гигант описывает её как «недостаточную проверку данных в File System». Патчи для этой дыры вышли с версиями 107 (октябрь 2022 года) и 108 (ноябрь 2022-го).

Уязвимость даже получила собственное имя — SymStealer. Анализ Imperva показал: когда пользователь перетаскивает (Drag-and-drop) директорию на элемент ввода файла, браузер рекурсивно разрешает все символические ссылки без каких-либо предупреждений.

В условной атаке злоумышленник может обманом заманить пользователя на вредоносный сайт и заставить его загрузить ZIP-архив, содержащий символическую ссылку на целевой файл или папку (например, на файл с учётными данными или информацией о криптокошельке).

WhatsApp Web научился звонить прямо в браузере

WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) наконец-то добавляет аудио- и видеозвонки в веб-версию мессенджера. Раньше поговорить с компьютера можно было только через отдельное приложение, а браузер оставался для почитать и написать. Теперь этот пробел закрывают.

В WhatsApp Web появится вкладка «Звонки» с историей вызовов и избранными контактами.

Пользователям также станут доступны демонстрация экрана и реакции — почти полный набор возможностей настольного приложения. Заодно Meta научила звонки переезжать между устройствами без разрыва соединения. Например, разговор, начатый в браузере или на компьютере, можно будет продолжить на смартфоне.

 

Для групповых созвонов появятся комнаты ожидания. Создатель ссылки сможет включить опцию «Требовать одобрения для входа», после чего впускать участников вручную или отправлять незваных гостей обратно за дверь.

Функция пригодится тем, кто использует WhatsApp для рабочих встреч и не хочет устраивать проходной двор.

Ещё одно обновление — подавление фонового шума. Мессенджер постарается отфильтровать гул людных помещений и другие посторонние звуки. Кроме того, видеозвонки начнут переходить в HD уже в первые секунды, а не после небольшой разминки в пикселях.

Недавно WhatsApp также открыл резервирование имён пользователей. После полноценного запуска функции звонить другим людям на разных платформах можно будет по нику, не раскрывая номер телефона.

RSS: Новости на портале Anti-Malware.ru