18-летняя уязвимость 0.0.0.0 Day затрагивает браузеры в macOS и Linux

18-летняя уязвимость 0.0.0.0 Day затрагивает браузеры в macOS и Linux

18-летняя уязвимость 0.0.0.0 Day затрагивает браузеры в macOS и Linux

Исследователи в области кибербезопасности выявили критическую уязвимость, которой дали имя «0.0.0.0 Day». Судя по всему, проблема затрагивает все популярные браузеры, а вредоносные сайты с её помощью могут проникнуть в локальные сети.

Как пишет исследователь Oligo Security Ави Лумельски:

«Это фундаментальный недостаток в  принципе обработки сетевых запросов со стороны браузеров. Условные злоумышленники могут получить доступ к конфиденциальным службам, работающим на локальных устройствах».

Таким образом, безобидный IP-адрес вроде 0.0.0.0 может использоваться для раскрытия локальных сервисов, получения несанкционированного доступа и даже удалённого выполнения кода.

Как отметили исследователи, эта брешь существует с 2006 года.

Среди затронутых 0.0.0.0 Day браузеров — Google Chrome / Chromium, Mozilla Firefox и Apple Safari, которые позволяют внешним веб-ресурсам взаимодействовать с софтом, работающим локально на Linux и macOS.

Интересно, что брешь не угрожает пользователям Windows, поскольку там IP-адрес блокируется на уровне самой операционной системы.

Как выяснили в Oligo Security, общедоступные сайты в доменной зоне «.com» могут взаимодействовать со службами, работающими в локальной сети, и даже выполнять произвольный код на устройстве посетителя с помощью адреса 0.0.0.0 вместо localhost/127.0.0.1.

 

Таким образом, это также является вектором обхода функциональности Private Network Access (PNA), задача которой — запрещать ресурсам прямой доступ к конечным точкам.

Любое запущенное на Localhost веб-приложение, до которого можно добраться через 0.0.0.0, уязвимо для «0.0.0.0 Day». Для эксплуатации атакующий должен отправить специально созданный пейлоад с POST-запросом на 0.0.0[.]0:4444.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры: Вся инфраструктура цифровой платформы МАХ размещена в России

Цифровая платформа МАХ, которую разрабатывает VK, по информации Минцифры РФ, работает полностью на российской инфраструктуре. Это, как утверждают в ведомстве, должно гарантировать надёжное хранение данных и защиту пользователей. Сама платформа объединяет мессенджер, мини-приложения, конструктор чат-ботов и встроенную платёжную систему.

В будущем обещают добавить интеграцию с «Госуслугами», цифровой идентификатор для подтверждения личности без бумажных документов, электронную подпись и образовательные сервисы.

Разработчики активно продвигают МАХ как безопасное и удобное решение для общения и доступа к цифровым гос- и бизнес-сервисам. При этом мессенджер уже успел оказаться в центре скандалов: его обвиняли в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран. Также у VK, по состоянию на сегодня, нет лицензий ФСТЭК и ФСБ России, которые необходимы для работы с информацией ограниченного доступа.

Чтобы повысить доверие, команда МАХ запустила сразу несколько инициатив по безопасности. Например, в платформу встроили систему автоматического анализа кода VK Security Gate. Она использует ИИ, чтобы отслеживать изменения в коде и подсказывать, где его можно усилить или исправить.

Кроме того, запущена программа по поиску уязвимостей — исследователей по информационной безопасности пригласили искать уязвимости в МАХ. Вознаграждение за найденные баги может доходить до 5 миллионов рублей. Программа стала частью общей инициативы VK по привлечению внешних экспертов к тестированию своих сервисов.

Пока МАХ остаётся одним из главных претендентов на звание «национального мессенджера», но судьба проекта во многом будет зависеть от доверия пользователей и готовности разработчиков решать не только технические, но и регуляторные вопросы.

Сегодня также стало известно, что отвечать за работу и развитие национального сервиса обмена информацией будет дочерняя структура VK, компания «Коммуникационная платформа». Уже подписано соответствующее распоряжение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru