Опубликована информация о трех XSS-уязвимостях Gmail

Опубликована информация о трех XSS-уязвимостях Gmail

Эксперт компьютерной безопасности Нильс Джунман (Nils Junemann) опубликовал техническую информацию о трех XSS-уязвимостях в почтовом сервисе Gmail. В результате успешного использования XSS-уязвимостей злоумышленникам удается скомпрометировать информацию о текущем сеансе пользователя, а при проведение целевой многоуровневой атаки, и вовсе, получить контроль над учетной записью.

Две уязвимости касались особенностей мобильного представления Gmail. Первая уязвимость заключалась в недостаточной проверке данных при формирование заголовка пересылаемого сообщения, что позволяло выполнить произвольный JavaScript-код в момент открытия письма со специально сформированным заголовком. Недостаточная проверка параметров поискового запроса, стала причиной второй XSS-уязвимостью. Третья XSS-уязвимость затронула параметры отображения отдельного сообщения, передает uinc.ru.

Однако, для выполнения внедренного JavaScript-кода пользователю необходимо проследовать по ссылке в письме, которая будет указывать на веб-сайт злоумышленников. Дело в том, что отображение письма требует знания уникального идентификатора пользователя и сообщения. Эти идентификаторы могут быть получены, например, путем внедрения в почтовое сообщение изображения, размещаемого на веб-сайте злоумышленников. Получив уникальный адрес просмотра, злоумышленники могут сформировать специальный URL-перенаправления, перейдя по которому пользователь выполнит вредоносный JavaScript в контексте веб-сайта почтовой службы Gmail.

По заявлению исследователя, все уязвимости были оперативно устранены сотрудниками компании Google. В качестве основной меры борьбы с еще неизвестными XSS-уязвимости, эксперты компьютерной безопасности рекомендуют использовать двухуровневую авторизацию и не открывать письма от неизвестных отправителей.

Семейный Защитник МТС поможет предупредить близких о звонках мошенников

МТС объявил о запуске новой услуги: абоненты смогут в реальном времени получать уведомления (СМС, пуши) о подозрительных звонках членам их семьи. Новая функция доступна в рамках платной подписки «Защитник+ для семьи».

В пакет также включены сервис блокировки мошеннических и спам-звонков, услуга «Безопасный звонок» и страхование (в случае кражи денег посредством телефонного мошенничества МТС поможет вернуть до 1,5 млн рублей).

Комплексную защиту можно распространить на своих близких (до трех дополнительных участников), создав семейную группу. Отдельной платы за это взиматься не будет.

«Злоумышленники продолжают звонить менее информированным и защищенным людям, — поясняет Андрей Бийчук, директор Центра продуктов телеком-технологий. — Например, пожилые могут не распознать в моменте новую схему обмана, а дети и подростки, как правило, не обладают достаточным опытом и критическим мышлением».

По данным МТС, в 2025 году ее ИИ-охранник «Безопасный звонок» отрабатывал у детей и людей преклонного возраста в два раза чаще, чем у других абонентов. При этом пенсионерам мошенники предпочитали звонить около 11-ти утра, а подросткам — в районе 14:00, когда те обычно приходят домой из школы.

Остается надеяться, что с вводом в строй новой единой антифрод-платформы борьба с телефонным мошенничеством в России вступит в новую фазу и принесет долгожданные, еще более существенные плоды.

RSS: Новости на портале Anti-Malware.ru