Оффлайн
- Регистрация
- 12.04.17
- Сообщения
- 19.095
- Реакции
- 107
- Репутация
- 0
Если из разных видов уязвимостей собрать воображаемый сборник лучших хитов, то различного рода ошибки обработки ввода займут там лучшие места. Одним из древнейших способов вывода программы или всей системы из строя является
На прошлой неделе механизм подвешивания мобильных устройств одним сообщением был обнаружен в операционной системе iOS для мобильных устройств Apple (
Первооткрыватель текстовой бомбы неизвестен. На Реддите, в сообществе любителей джейлбрейка айфонов,
В бета-версии iOS 13.4.5 также закрыты два бага в почтовом клиенте Apple Mail (
Если текстовая бомба в iOS только раздражает, то как насчет вредоносной гифки, которая позволяет украсть доступ к аккаунту в сервисе Microsoft Teams? Такую уязвимость обнаружили в компании CyberArk (
Что еще произошло:
In response to recent incidents related to some Nintendo Accounts, it is no longer possible to sign into a Nintendo Account using a Nintendo Network ID. We apologise for any inconvenience caused. Please visit our Support website for more information:
— Nintendo UK (@NintendoUK)
Компания Nintendo подтвердила
We have reviewed the leaked code and believe it to be a reposting of a limited CS:GO engine code depot released to partners in late 2017, and originally leaked in 2018. From this review, we have not found any reason for players to be alarmed or avoid the current builds.
— CS:GO (@CSGO)
На прошлой неделе широко обсуждалась
Обнаружен интересный
В компании Palo Alto Networks
You must be registered for see links
— архив небольшого размера, который разворачивается, в зависимости от временной эпохи, в сотни мегабайт, гигабайты или петабайты данных. Но то архив, его еще надо скачать и попробовать распаковать. Гораздо интереснее текстовые бомбы — сообщения, формат которых приводит к вылету программы или обрушению всей системы. В мире мессенджеров и мобильных устройств это особенно актуально.
На прошлой неделе механизм подвешивания мобильных устройств одним сообщением был обнаружен в операционной системе iOS для мобильных устройств Apple (
You must be registered for see links
). iOS неправильно обрабатывает как минимум один символ языка
You must be registered for see links
, одного из официальных языков в Пакистане, включенный в стандарт Unicode. При отображении такого символа на телефоне или планшете происходят сбои разной степени сложности, в худшем случае требуется перезагрузка устройства. Сообщение с трудным символом должно быть выведено на экран, в клиенте соцсети или в мессенджере, но сбой вызывается и при демонстрации уведомления, если включен предпросмотр сообщений. Иными словами, после перезагрузки можно снова напороться на падение софта или системы целиком, если кто-то решил вас капитально потроллить.
Первооткрыватель текстовой бомбы неизвестен. На Реддите, в сообществе любителей джейлбрейка айфонов,
You must be registered for see links
самодельный патч от этой напасти, упоминая сообщения в Твиттере (как на скриншоте в начале дайджеста), которые распространялись на прошлой неделе, почему-то с добавлением к символу из языка синдхи итальянского флага. Флаг в эксплуатации бага никак не участвует. Во избежание массового троллинга публикация символов а-ля натюрель была в этом сообществе строго запрещена. Подсмотреть код символа можно в
You must be registered for see links
патча для «взломанных» айфонов. Публиковать его прямо здесь мы не будем и вам не советуем. Не смешно. Это баг, но не уязвимость: к выполнению кода падение софта не приводит, по крайней мере таких сообщений не было. В актуальной бета-версии iOS проблема решена, но до официального выпуска обновления в соцсетях и мессенджерах вероятен чад кутежа. В бета-версии iOS 13.4.5 также закрыты два бага в почтовом клиенте Apple Mail (
You must be registered for see links
). По сообщению команды
You must be registered for see links
, обе уязвимости приводят к утечкам данных из почтового клиента при открытии подготовленного сообщения. В ZecOps утверждают, что подвержена также старая версия iOS 6 и что с 2018 года уязвимости эксплуатировались неназванными атакующими «в полях». Apple, впрочем, считает, что обошлось
You must be registered for see links
: «непосредственной угрозы для пользователей нет». Если текстовая бомба в iOS только раздражает, то как насчет вредоносной гифки, которая позволяет украсть доступ к аккаунту в сервисе Microsoft Teams? Такую уязвимость обнаружили в компании CyberArk (
You must be registered for see links
,
You must be registered for see links
). Исследователи нашли слабое место не в обработчике картинок, а в механизме, который позволяет отслеживать, кто чем делился в этой платформе для совместной работы. Так как Microsoft Teams может объединять и облачный сервис, и частные корпоративные серверы, и софт на компьютере пользователей, понадобилась довольно сложная система атрибуции изображений с пересылкой токенов, идентифицирующих абонента. Добавим к этому два поддомена на сайте Microsoft, трафик на которые теоретически можно переключить на атакующего с помощью процедуры
You must be registered for see links
, и получим следующий сценарий. Вы отправляете пользователю подготовленный GIF. Картинка регистрируется в сервисе с передачей токенов пользователя на поддомен *.microsoft.com. Атакующий перенаправляет трафик на этот поддомен к себе и получает токен. С помощью ключей авторизации уже можно обращаться к API облачного сервиса от имени пострадавшего пользователя и получать разнообразную приватную информацию о внутренней структуре компании. Что еще произошло:
In response to recent incidents related to some Nintendo Accounts, it is no longer possible to sign into a Nintendo Account using a Nintendo Network ID. We apologise for any inconvenience caused. Please visit our Support website for more information:
You must be registered for see links
— Nintendo UK (@NintendoUK)
You must be registered for see links
Компания Nintendo подтвердила
You must be registered for see links
160 тысяч учетных записей через систему Nintendo Network ID. Это legacy-система, используемая, в частности, для учетных записей в консолях Nintendo 3DS и Wii U. Но через эту старую учетку можно было попасть и в современный сетевой сервис компании, обслуживающий, например, Nintendo Switch. Взлом NNID уже привел к краже виртуальных денег со счетов пользователей.We have reviewed the leaked code and believe it to be a reposting of a limited CS:GO engine code depot released to partners in late 2017, and originally leaked in 2018. From this review, we have not found any reason for players to be alarmed or avoid the current builds.
— CS:GO (@CSGO)
You must be registered for see links
You must be registered for see links
исходники многопользовательских игр Team Fortress 2 и CS:GO. Исходные коды, обычно распространяемые приватно и только среди партнеров разработчика, компании Valve Software, были выложены в открытый доступ. По данным Valve, это «перезалив» исходников, которые уже всплывали в сети в 2018 году, так что появления новых эксплойтов для атаки на геймеров ожидать не стоит. На прошлой неделе широко обсуждалась
You must be registered for see links
базы из 25 тысяч адресов электронной почты и паролей, предположительно принадлежащих сотрудникам Всемирной организации здравоохранения, фонда Билла и Мелинды Гейтс, а также Института вирусологии в Ухане. Скорее всего, это выборка из огромной базы более ранних утечек из сетевых сервисов, которую кто-то сделал на злобу дня. Между тем, по данным Google Threat Analysis Group (и других компаний), тема COVID-19 активно
You must be registered for see links
в фишинговых атаках на государственные органы разных стран.Обнаружен интересный
You must be registered for see links
правдоподобного фишинга паролей для мессенджера Skype. В компании Palo Alto Networks
You must be registered for see links
ботнет, нацеленный на уязвимые NAS-устройства Zyxel. А в ESET
You must be registered for see links
уязвимости в хабах для умного дома трех разных производителей. Плохая новость: есть возможность удаленного перехвата контроля над всей домашней IoT-инфраструктурой. Хорошая новость: исследованные уязвимости уже закрыты производителями, некоторые — давно. Плохая новость: не все владельцы хабов ставят апдейты вовремя.