Из Firefox для Android можно было извлечь cookies с помощью HTML-файла

Из Firefox для Android можно было извлечь cookies с помощью HTML-файла

Из Firefox для Android можно было извлечь cookies с помощью HTML-файла

Потенциальный злоумышленник мог использовать специально созданный HTML-файл для извлечения всех cookies из версии Firefox для мобильной операционной системы Android. В последнем релизе браузера Mozilla устранила брешь.

Уязвимость обнаружил исследователь Педро Оливейра, указавший на проблему обработки Firefox локальных файлов через схему content://. Особенности браузера позволили эксперту удалённо получить копии всех cookies-файлов, сохранённых на устройстве пользователя.

Согласно описанию Оливейры, для отработки эксплойта достаточно заставить пользователя открыть специальный HTML. В этом случае вредоносный файл запускал фрейм для файла браузера profiles.ini, содержащего данные профиля пользователя Firefox, а также его файлы cookies.

Благодаря тому, как Firefox обрабатывает такие URI Оливейра смог получить копию локального файла, к которому в нормальных условиях удалённый злоумышленник не должен получить доступ через веб-страницу.

Исследователь передал данные об уязвимости представителям Mozilla, немного доработав эксплойт таким образом, чтобы извлекались все cookies, связанные с профилем пользователя Firefox.

Как выяснил Педро Оливейра, любой файл, загруженный версиями браузера до 68.10.1, обрабатывается именно таким образом. Пользователям Firefox для Android рекомендуют установить последнюю версию интернет-обозревателя и следить за дальнейшими обновлениями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Арестовано руководство ФКУ Налог-сервис

Басманный суд Москвы арестовал генерального директора ФКУ «Налог-сервис» Романа Филимошина и его заместителя Дмитрия Шалаева. Их подозревают в получении крупной взятки.

ФКУ «Налог-сервис» является инсорсинговой структурой Федеральной налоговой службы. Организация отвечает за информационное обеспечение работы ФНС и её территориальных подразделений, печать и рассылку налоговых уведомлений, обработку отчетности и бухгалтерских документов, функционирование контакт-центров, а также за архивное хранение документов.

Среди крупнейших поставщиков ФКУ «Налог-сервис», как сообщает «Коммерсантъ», числятся крупные ИТ-компании, включая «Рубитех» и «Системный софт». По данным издания, в 2020–2024 годах организация закупила ИТ-оборудование на сумму около 70 млрд рублей.

Источники «Коммерсанта» утверждают, что руководство ФКУ «Налог-сервис» получало взятки от поставщиков в обмен на продолжение сотрудничества. Оба фигуранта занимают свои должности с 2013 года.

Судья Басманного суда Евгения Николаева, как отмечает «Коммерсантъ», рассмотрела ходатайства следствия об аресте Филимошина и Шалаева с разницей в несколько минут и не нашла оснований для отказа в избрании меры пресечения.

Отметим, что 28 апреля Хамовнический суд Москвы приговорил бывшего замглавы Минцифры Максима Паршина к 9 годам лишения свободы за получение взятки. Взяткодатель Александр Моносов по тому же делу получил 8,5 лет колонии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru