Предлагаем ознакомиться с небольшим обзором уязвимостей за прошлую неделю (24-30 августа). В центре внимания: государственные сайты в РФ, Android, IOS XR, Windows, Gmail.
На прошлой неделе владельцы Android-смартфонов получили несколько непонятных уведомлений. Эксперты отмечают, что уведомления были отосланы только тем пользователям, которые имеют установленные приложения Google Hangouts и Microsoft Teams. Возможно, это было проверкой перед крупномасштабной атакой.
По результатам исследования, проведенного организацией «Информация для всех», российские государственные сайты имеют крайне низкий уровень защиты, не способны противостоять XSS-уязвимостям, передают данные о посетителях третьим лицам, в том числе и зарубежным копаниям.
Компания Cisco предупредила пользователей о том, что в операционной системе IOS, которая поставляется вместе с программными решениями, обнаружена 0-day уязвимость. Проблема есть в функции DVMRP – с ее помощью неавторизованный хакер может дистанционно истощить процесс обработки памяти, нарушить работу остальных процессов, которые запущены на устройстве.
Компания Oversecured, которая работает в сфере обеспечения безопасности мобильных приложений, нашла в ОС Android уязвимость, посредством которой вредоносные программы получают доступ к важным конфиденциальным данным пользователя. Проблемной являлась библиотека Play Core, позволяющая разработчикам загружать обновления в приложения и интегрировать новый функционал. Уязвимость сейчас уже устранена.
ИБ-эксперты обнаружили метод обход патча, который ранее был выпущен Microsoft, чтобы устранить найденную в службах печати Windows уязвимость. Эксплуатация проблемы позволяет киберпреступникам исполнять вредоносный код с максимальными привилегиями в системе.
В Google объявили об устранении уязвимости в Gmail, с помощью которой киберпреступники могли отправлять поддельные электронные письма от лица любого пользователя Gmail или G Suite. Ошибка была исправлена через семь часов после публикации сведений об эксплойте.