Уязвимость механизма пересылки Gmail и Outlook грозит спуфингом отправителя

Уязвимость механизма пересылки Gmail и Outlook грозит спуфингом отправителя

Уязвимость механизма пересылки Gmail и Outlook грозит спуфингом отправителя

В нескольких реализациях функции автоматической пересылки писем выявлены уязвимости, позволяющие обойти защиту и подделать домен отправителя. Проблема затрагивает тысячи организаций, доверивших отправку своей почты Microsoft, Apple либо Google.

В ходе исследования сборная команда из университетов Калифорнии (Сан-Диего), Стэнфорда и Твенте (Нидерланды) обнаружила, что почтовые сервисы Gmail, iCloud, Outlook, индийский Zohomail не верифицируют адрес отправителя при переадресации почты. Подобное упущение открывает возможность для спуфинга, ставя под удар, в числе прочих, правительство США и более 12% компаний списка Alexa 100K (Mastercard, GoDaddy, Associated Press, Washington Post, Docusign и проч.).

Для проведения атаки злоумышленнику лишь потребуется создать учетную запись для пересылки писем и добавить поддельные адреса в белый список. Отправлять поддельные сообщения можно со специально открытого аккаунта или собственного сервера.

По оценкам исследователей, найденные ими уязвимости затрагивают примерно 1,9 млрд пользователей в разных странах, а также 32% доменов .gov. Результаты исследования были представлены на конференции IEEE по безопасности и приватности, проведенной в минувшем июле в Делфте, Нидерланды.

Провайдерам были отправлены уведомления о находках; Zoho и Google проблему решили с помощью патчей, Microsoft подтвердила наличие уязвимостей, в iCloud тоже пока не нашли адекватного решения. Пользователям рекомендуется отключить автопересылку, а поставщикам почтовых услуг — перестать слепо доверять сообщениям, получаемым от коллег по цеху.

Google ускорила магазин приложений Play Store на Android-смартфонах

Google выкатила обновление Google Play Store 52.1, в котором решила не ограничиваться привычными исправлениями ошибок. Компания обещает ускорить работу магазина приложений, сделать установку программ менее прожорливой к памяти и добавить новые функции для пользователей и разработчиков.

Самое заметное изменение касается контента, созданного искусственным интеллектом. Теперь Play Store будет помечать изображения и другие медиа, сгенерированные ИИ, если разработчик использовал их в карточке приложения.

Идея проста: пользователь должен понимать, что красивые картинки в описании могут не отражать реальный интерфейс программы. Похожую маркировку Google недавно начала использовать и в YouTube Shorts.

Еще одно нововведение адресовано геймерам. Google заявила, что пользователи смогут смотреть видео от разработчиков и игровых блогеров прямо во время игры. Поддерживаются полноэкранный режим и режим картинка в картинке (PiP), хотя пока компания не уточняет, какие именно игры получат эту возможность.

Под капотом тоже есть изменения. По словам Google, обновление включает масштабные инфраструктурные доработки сразу для нескольких платформ: Android-смартфонов, планшетов, Wear OS, Android TV, Google TV, Android Auto и Automotive OS. Помимо общего повышения производительности, Play Store должен эффективнее использовать оперативную память во время установки приложений.

Обновление уже распространяется среди пользователей. Проверить его можно через настройки Google Play Services, обновление системы Google Play или непосредственно в настройках самого магазина приложений.

RSS: Новости на портале Anti-Malware.ru