В январском патче для Electron обнаружились новые проблемы безопасности

В январском патче для Electron обнаружились новые проблемы безопасности

В январском патче для Electron обнаружились новые проблемы безопасности

Разработчики Electron на прошлой неделе выпустили обновление, дополняющее их январский патч. Исследователи объяснили, почему первого патча было недостаточно. Напомним, что Electron позволяет разрабатывать нативные графические приложения для настольных операционных систем с помощью веб-технологий. Популярные настольные приложения — Skype, Slack, GitHub Desktop, Twitch, WordPress.com и другие — разрабатываются с его помощью.

Уязвимость, приводящая к удаленному выполнению кода (CVE-2018-1000006), была обнаружена в приложениях Windows, разработанных с использованием Electron.

Это баг может быть использован для запуска произвольных команд на компьютере под управлением Windows. Для эксплуатации достаточно заставить пользователя кликнуть по специально созданному URL-адресу.

Предполагается, что недостаток был устранен 22 января, однако исследователь в области безопасности из компании Doyensec, внимательно изучив патч, обнаружил дополнительные проблемы.

В четверг эксперт поделился своими выводами, отметив, что новая проблема позволяет совершить атаку «Человек посередине» (man-in-the-middle), приводя к утечке информации из приложения, а также выполнить произвольные команды.

Проблема существует из-за неверно реализованного правила хостов в черном списке. Таким образом, злоумышленник может установить правила для переписывания доменных имен, выданных libchroumiumcontent.

Специалист опубликовал видео, в котором демонстрируется состоятельность атаки на Windows-версию клиента Skype.

«Злоумышленник может перехватить трафик, генерируемый Chromium», — пишет эксперт.

Недавно мы сообщали, что исследователи в области безопасности обнаружили новую уязвимость в разработанном GitHub фреймворке Electron. Популярные настольные приложения — Skype, Slack, GitHub Desktop, Twitch, WordPress.com и другие — могут быть в опасности.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru