В знак протеста исследователь опубликовал базу, содержащую 10 млн паролей

В знак протеста исследователь опубликовал базу, содержащую 10 млн паролей

Марк Барнетт (Mark Burnett), автор серии книг о компьютерной безопасности, открыл доступ к базе данных, включающих сведения о 10 миллионах паролей. Данные скомпонованы из совершённых в последние годы утечек параметров аутентификации и опубликованы как общественное достояние.

Информация включает привязку к именам пользователей и является хорошим источником статистики для исследователей безопасности, изучающих особенности поведения пользователей при выборе паролей.

Данные открыты в качестве протеста против осуждения независимого журналиста Баррета Брауна (Barrett Brown), по обвинению в краже личных данных и торговле базами параметров аутентификации. Обвинение было выдвинуто лишь на основании публикации Барретом ссылки на уже опубликованные анонимными хакерами данные, что рассматривается правозащитниками как попытка запугивания журналистов, занимающихся обнародованием сведений, полученных в результате утечек информации, сообщает opennet.ru.

Интересно, что Марк Барнетт подробно обосновал с юридической точки зрения, почему совершённый им поступок не может трактоваться как нарушение закона. В частности, он формально обошёл нарушение закона, явно указав исследовательский характер публикации и мотивировал свой поступок желанием повышения надёжности систем проверки качества паролей и развитием средств защиты, исключив использование базы для обмана, злонамеренных действий и несанкционированного доступа. Кроме того, смешаны данные из тысяч различных публично доступных утечек и из базы удалены сведения о доменах и ключевых словах, позволяющих судить о принадлежности к определённому сервису или компании. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Уязвимость в Axios: риск SSRF и утечки учеток для миллионов юзеров

Опубликована PoC-атака на уязвимость, выявленную прошлым летом в HTTP-клиенте Axios. Эксплойт грозит подменой запросов на стороне сервера (SSRF) и кражей конфиденциальных данных; патч вышел в составе сборки 1.8.2.

Ввиду большой популярности Axios (до 250 млн загрузок в месяц) проблема CVE-2025-27152 предоставляет широкие возможности для злоупотреблений.

Уязвимость проявляется при обработке абсолютных URL в пользовательском вводе. Даже в тех случаях, когда в настройках выставлен baseURL, Axios проигнорирует это и отправит запрос, используя полный адрес ресурса.

В результате возникла угроза обхода защиты и несанкционированного доступа к ресурсам. В случае атаки подобный недочет позволяет через SSRF обращаться к другим внутренним хостам в целевой сети, а также спровоцировать утечку учеток и API-ключей, вставляемых в заголовки запросов.

Уязвимости подвержены экземпляры Axios сборок 1.7.9 и ниже, вне зависимости от того, как они работают — на стороне сервера или клиента. Пользователям настоятельно рекомендуется обновить JavaScript-библиотеку до версии 1.8.2 или выше; риск эксплойта можно снизить вводом проверки пути поиска ресурса и запрета на использование абсолютных URL в запросах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru