XSS-уязвимость нулевого дня в Internet Explorer позволяет атаковать любые сайты

XSS-уязвимость в Internet Explorer позволяет атаковать любые сайты

Вчера стало известно о появлении ранее неизвестной уязвимости межсайтового скриптинга в Microsoft Internet Explorer. Используя эту ошибку, удаленный пользователь может внедрить в HTML-страницу произвольный JavaScript-сценарий в обход политики единства происхождения практически на любом сайте.

Исследователи из deusen.co.uk, разместившие PoC-код эксплойта, продемонстрировали эксплуатацию уязвимости на сайте первой по величине тиража ежедневной газеты Великобритании «Daily Mail»  www.dailymail.co.uk. При нажатии на специально сформированную ссылку пользователь перенаправляется на сайт dailymail.co.uk, после чего ему выводится сообщение «Hacked by Deusen».

Уязвимость присутствует в Internet Explorer 10.x и 11.x. Эксперты Positive Technologies отмечают, что в сети уже появилось несколько примеров использования уязвимости, из которых видно, что под угрозой находятся множество сайтов, включая критических ресурсы.

В качестве эксперимента демонстрация атаки на портале международного форума по практической безопасности PHDays V: http://www.youtube.com/watch?v=R1n1aG-LNMg.

Способы защиты

Необходимо запретить сторонние iframe с помощью опции заголовка X-Frame-Options, отправляемого web-сервером.

Для Apache настройка в .htaccess будет выглядеть так:

Header always append X-Frame-Options SAMEORIGIN

Для nginx:

add_header X-Frame-Options SAMEORIGIN;

Для IIS:

<system.webServer> 
... 
<httpProtocol> 
<customHeaders> 
<add name="X-Frame-Options" value="SAMEORIGIN" /> 
</customHeaders> 
</httpProtocol> 
... 
</system.webServer> 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Глава РАЭК Сергей Гребенников арестован по делу о наркотиках

Тверской суд Москвы арестовал директора Российской ассоциации электронных коммуникаций (РАЭК) Сергея Гребенникова. Ему предъявлено обвинение по части 3 статьи 30 и пункту «б» части 3 статьи 228.1 УК РФ (незаконное производство, сбыт или пересылка наркотических средств, психотропных веществ или их аналогов).

Решение об аресте вступило в силу 29 января, однако информация о деле появилась на сайте суда лишь 31 января.

«Постановлением Тверского районного суда Москвы удовлетворено ходатайство следователя об избрании меры пресечения в виде заключения под стражу в отношении Сергея Владимировича Гребенникова, обвиняемого в совершении преступления, предусмотренного ст. 30, п. "б" ч. 3 ст. 228.1 УК РФ, на срок 1 месяц 19 суток», — сообщила пресс-служба судов общей юрисдикции Москвы.

По данным источников «Газеты.Ru» в правоохранительных органах, уголовное дело против Гребенникова было возбуждено 16 января. 24 января его задержали в центре Москвы с 2 граммами мефедрона. Источники ТАСС утверждают, что у него также обнаружили кокаин. Независимо от конкретного вещества, данный объем считается значительным. Другие подробности дела не разглашаются.

На сайте РАЭК опубликовано заявление, в котором подчеркивается, что уголовное дело против Гребенникова не связано с его профессиональной деятельностью и работой ассоциации. Все текущие и запланированные проекты РАЭК будут реализованы в полном объеме.

Исполнение обязанностей главы организации возложено на Екатерину Демкину, назначенную исполнительным директором в декабре 2024 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru