Критическая уязвимость в Apple Passwords оставалась без внимания 3 месяца

Критическая уязвимость в Apple Passwords оставалась без внимания 3 месяца

Критическая уязвимость в Apple Passwords оставалась без внимания 3 месяца

Компания Apple устранила серьёзную уязвимость в приложении Passwords, из-за которой пользователи могли стать жертвами фишинговых атак. Брешь оставалась в менеджере паролей почти три месяца — с момента выхода iOS 18 до выпуска обновления iOS 18.2.

Исследователи из Mysk обнаружили, что Passwords передавал данные через незащищенный протокол HTTP, обращаясь более чем к 130 веб-сайтам.

Это касалось как загрузки значков учётных записей, так и страниц сброса пароля. Такой подход позволял злоумышленникам, имеющим доступ к той же сети (например, в кафе или отеле), перехватывать запросы и перенаправлять пользователей на фишинговые сайты.

«Мы были удивлены, что в таком важном приложении Apple не использовала HTTPS по умолчанию», — заявили эксперты Mysk.

 

Они также подчеркнули, что пользователям надо разрешить полностью отключать загрузку значков сайтов, поскольку частые запросы к различным ресурсам могут вызывать беспокойство с точки зрения безопасности.

Хотя большинство современных сайтов автоматически перенаправляют HTTP-запросы на HTTPS, уязвимость Passwords позволяла злоумышленникам вмешиваться в редирект, создавая поддельные страницы и похищая учётные данные.

Дыру устранили в iOS 18.2, но Apple раскрыла информацию об уязвимости только спустя несколько месяцев. В обновлённой версии Passwords теперь использует HTTPS по умолчанию для всех соединений.

Минтранс готов расчистить дорогу настоящим пухососам

Мем про московских роботов, засасывающих тополиный пух, внезапно добрался до федерального министерства. Глава Минтранса Андрей Никитин заявил, что ведомство готово обеспечить нормативное сопровождение для создания пухососов, если такая техника заинтересует коммунальные службы.

«Если они будут нужны нашим коммунальщикам, мы обеспечим всё необходимое нормативное сопровождение и нужные решения», — сообщил Никитин.

Впрочем, искать будущего производителя пока рано. Реальных машин под названием пухосос не существует, серийное производство никто не запускал, а Москва не закупала флот синих уборочных роверов.

История началась летом с вирусного видео, на котором небольшие беспилотники якобы собирали тополиный пух на столичных улицах. Ролик создало агентство Out Digital, причём ещё два года назад. Публикацию придержали до подходящего пухового сезона, а затем интернет сделал всё остальное.

Сначала роверы попали в новостные каналы как реальная городская разработка, затем собрали миллионы просмотров, а эксперты даже принялись считать стоимость проекта. Департамент ЖКХ Москвы подыграл шутке и представил целую линейку помощников: Засосёра, Мусорожора и Газонюха.

Окончательно мем вышел из-под контроля после того, как «Грамота.ру» разобрала новое слово, а теперь возможность появления техники прокомментировал и министр.

RSS: Новости на портале Anti-Malware.ru