Баг Windows- и macOS-версии Opera позволял запускать любой файл в ОС

Баг Windows- и macOS-версии Opera позволял запускать любой файл в ОС

Баг Windows- и macOS-версии Opera позволял запускать любой файл в ОС

Исследователи из Guardio Labs обнаружили уязвимость в браузере Opera, затрагивающую Windows- и macOS-версию браузера. Эксплуатация этой бреши (ей присвоили имя MyFlaw) позволяет выполнить любой файл в системе.

В сущности, MyFlaw является классическим примером возможности удалённого выполнения кода (RCE). Своим именем баг обязан функции Opera My Flow, которая синхронизирует сообщения и файлы между мобильными устройствами и десктопами.

«Добиться эксплуатации уязвимости можно через подконтрольное расширение. В результате условному злоумышленнику удастся обойти не только песочницу интернет-обозревателя, но и сам процесс Opera», — пишут специалисты в отчёте.

Кстати, проблема затрагивает и Opera GX. К счастью, разработчики уже успели выпустить патч в одном из обновлений.

Поскольку функция My Flow изначально предустановлена в браузера, настоятельно рекомендуется проверить актуальность установленной версии браузера.

Особую опасность дыре в My Flow придаёт возможность открыть «поток» в веб-интерфейсе: это значит, что файл можно выполнить за пределами защитных механизмов Opera.

 

Интересно, что Guardio Labs удалось откопать старую и «давно забытую» версию посадочной страницы My Flow, которая размещалась в домене web.flow.opera.com. В этом исследователя помог сканер urlscan.io.

 

«Сама страница выглядит практически идентичной той, что используется сейчас, однако отличия можно найти “под капотом“. На ней не только отсутствует метатег content security policy, но и есть скрипт, вызывающий JavaScript-файл без каких-либо проверок».

«Такой реализации вполне достаточно для успешной атаки».

В «Облаке КИИ» РТК-ЦОД появились новые функции управления и защиты

РТК-ЦОД обновил программную основу своего «Облака КИИ» — защищённой облачной платформы для размещения объектов критической информационной инфраструктуры. Речь идёт о решениях экосистемы «Базис»: Basis Dynamix, Basis Virtual Security.

Обновление затронуло тот самый инфраструктурный слой, на котором держится облако для чувствительных и регулируемых систем.

После апдейта заказчикам стали доступны более гибкое управление объёмом хранилища, перемещение виртуальных машин между узлами для балансировки нагрузки, а также новые функции межсетевого экрана и управления его политиками.

Эти возможности соответствуют тому, что ранее заявлялось для релиза Basis Dynamix, где «Базис» добавил десятки доработок для управления динамической ИТ-инфраструктурой.

Само «Облако КИИ» РТК-ЦОД запустил ещё в октябре 2024 года. Компания позиционирует его как первое в России мультитенантное защищённое облако, построенное на отечественных программных и аппаратных решениях. Платформа изначально создавалась под размещение систем, для которых важны и импортонезависимость, и соответствие требованиям регуляторов.

Ключевой момент здесь не только в самой виртуализации, но и в требованиях по защите. Ранее РТК-ЦОД сообщал, что «Облако КИИ» аттестовано по требованиям приказа ФСТЭК № 239 и может использоваться для размещения объектов КИИ до второй категории значимости включительно, а также для систем с жёсткими требованиями по защите персональных данных и государственных ИС.

Нынешнее обновление — не просто «техническая профилактика», а скорее плановая доработка платформы, которая должна сделать работу с защищённой инфраструктурой более удобной и управляемой. Особенно для тех заказчиков, которым нужно не просто облако, а облако, вписанное в российскую нормативную и ИБ-реальность.

RSS: Новости на портале Anti-Malware.ru