В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

В Cloudflare WAF метод обхода защиты от XSS существует с 2019 года

Файрвол уровня веб-приложений от Cloudflare (Web Application Firewall, WAF) содержит серьёзный изъян, позволяющий обойти меры защиты от межсайтового скриптинга (XSS). Эксплойт для этой уязвимости известен с 2019 года, однако брешь по сей день остаётся непропатченной.

Согласно информации на официальном сайте, Cloudflare WAF защищает 25 миллионов веб-ресурсов. Тем опаснее способ обхода правил, о котором на днях рассказали исследователи.

Как правило, Cloudflare WAF отражает атаки злоумышленников, которые хотят использовать уязвимости вроде SQL-инъекции, межсайтового скриптинга (XSS), DoS и прочие известные лазейки. Например, специально созданный вредоносный HTTP-запрос, начинённый XSS- или SQLi-эксплойтом, будет немедленно заблокирован Cloudflare ещё до того, как он достигнет сайта.

Однако всего лишь небольшая модификация эксплойта может позволить атакующим обойти фильтры Cloudflare и попасть на целевой сайт. По крайней мере, об этом сообщают исследователи в области кибербезопасности.

Например, Джексон Генри, занимающийся поиском уязвимостей и известный под псевдонимом «CVE-JACKSON-133», рассказал, что ему удалось создать HTML-тег SVG и с его помощью запустить XSS-эксплойт на защищённом Cloudflare веб-сайте.

Продемонстрированный Генри пейлоад по функциональности не сложнее банального <svg onload=alert("1")>, однако исследователь смог добавить несколько закодированных символов и обойти защитный барьер WAF.

Генри отметил, что конкретно этот метод обхода защиты от межсайтового скриптинга известен как минимум с 4 июня 2019 года, когда о нём впервые сообщил другой эксперт — Бодан Коржинский. В сентябре 2020 года Коржинский повторно предупредил об актуальности проблемы безопасности.

Теперь остаётся ждать патча от Cloudflare и надеяться, что он придёт достаточно оперативно. В противном случае миллионы веб-сайтов будут под угрозой.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru