Уязвимость в Chrome ставит под угрозу данные миллиардов пользователей
Уязвимость в браузерах на базе движка Chromium позволяет злоумышленникам обойти политику защиты контента (Security Policy, CSP) на сайтах с целью похищения данных и внедрения вредоносного кода. Уязвимость ( CVE-2020-6519 ) была обнаружена исследователем безопасности компании PerimeterX Галом Вайзманом (Gal Weizman). Проблема присутствует в Chrome, Opera и Edge на Windows, Mac и Android и затрагивает миллиарды интернет-пользователей. Что касается Chrome, то уязвимыми являются версии от 73 (выпущена в марте 2019 года) до 83. В выпущенной в июле нынешнего года версии Chrome 84 проблема уже исправлена. CSP - это web-стандарт, обеспечивающий дополнительный уровень защиты и помогающий обнаруживать и смягчать некоторые виды атак, в том числе межсайтовый скриптинг (XSS) и внедрение данных. CSP позовляет администраторам web-сайтов указывать домены, которые браузер может считать доверенным источником для загрузки исполняемых скриптов. Браузеры с поддержкой этого стандарта будут выполнять и загружать файлы только с указанных доменов. Среди прочих, CSP используют такие интернет-гиганты, как ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo и Zoom. Проблема не затрагивает GitHub, Google Play Store, LinkedIn, PayPal, Twitter, страницу авторизации Yahoo и "Яндекс". Для эксплуатации уязвимости злоумышленник сначала должен получить доступ к web-серверу (например, подобрав пароль с помощью брутфорса, или каким-либо другим способом), чтобы иметь возможность модифицировать используемые им JavaScript-коды. Затем атакующий может добавлять в JavaScript-код атрибуты frame-src и child-src, позволяя внедренному коду загрузить и выполнить их и тем самым обойти CSP. Поскольку для эксплуатации уязвимости нужен доступ к web-серверу, она сичитается среднеопасной (6,5 балла из 10 по шкале CvSS). Однако, так как баг влияет на обеспечение соблюдения политики защиты контента, его эксплуатация может иметь серьезные последствия, предупредил Вайзман.
- 20 Авг, 11:37
Samourai Wallet: потенциальная уязвимость Wasabi Wallet угрожает анонимности пользователей
После детального изучения проблемы исследователи классифицировали уязвимости как критические. По данным OXT, проблема касается технологии микширования CoinJoin: при повторном смешивании выходов транзакций результат первого отменяется, что ставит под ...
- 3 Авг, 10:17
Huobi намерена инвестировать десятки миллионов долларов в DeFi-пространство
Компания Huobi Group открывает фонд с активами на десятки миллионов долларов в собственных капиталах для инвестиций в пространство децентрализованных финансов (DeFi). Согласно CoinDesk, для управления новым фондом было сформировано подразделение Huob...
- 29 Июл, 08:35
В Ledger сообщили об утечке персональных данных миллиона пользователей
О наличии уязвимости компании 14 июля сообщил сторонний исследователь, принимавший участие в баути-программе. При изучении проблемы выяснилось, что 25 июня неизвестная сторона получила доступ к базе данных, содержащей электронные и почтовые адреса, и...
Cегодня
-
13:58 Bitfarms утвердила «ядовитую пилюлю» против поглощения Riot Platforms
-
13:14 От Ethereum ждут ралли
-
12:57 Нескольких валидаторов Solana исключили за участие в «сэндвич-атаках»
-
12:36 За три месяца в ceктop cтeйблкoинoв пocтупили cpeдcтвa нa $16 млpд
-
12:23 За день заработал на токенах-мемах $2,5 млрд
-
11:10 Alibaba выпустила новую ИИ-модель Qwen2
-
10:38 HSBC China открыл корпоративным клиентам доступ к цифровому юаню
-
10:30 В Узбекистане студента арестовали за продажу Notcoin
В мире за неделю
-
10 Июн, 13:00+5 В США судят мошенников, похитивших криптовалюты на $25 млн за 12 секунд
-
10 Июн, 12:31+4 Студент арестован на 10 суток за продажу Notcoin: его смартфон уничтожили
-
10 Июн, 08:25+7 FSC Южной Кореи представила правила регулирования NFT
-
9 Июн, 21:01+4 Биткоин в 2024 году вырос на 70% благодаря притоку институционального капитала
-
9 Июн, 16:27+9 Notcoin сжигание, стейкинг и launchpad. Все твои токены сгорят? / Криптовалюты, NFT и финансы
-
6 Июн, 02:30+4 ФБР предупреждает о мошенничествах с криптовалютой на фальшивых работах из дома