Der Angriff auf eine Desktop-Anwendung mit dem Electron-Framework erfolgt in zwei Schritten: Der Forscher fand zunächst eine Möglichkeit, zwei HTML-Tags zu verwenden - Bereich und Karte - und lud dann mit ihrer Hilfe ein Skript, das beliebigen Code auf dem Computer des Opfers ausführt. Das Skript sieht einfach aus: Ein Angreifer teilt eine Datei, wenn er darauf klickt, wird schädlicher Code ausgeführt. Eine alternative Option besteht darin, die Sitzung eines Benutzers mit verständlichen Konsequenzen zu stehlen: uneingeschränkter Zugriff auf Unternehmens-Chat-Daten. Der Fehler wurde den Entwicklern im Januar über die HackerOne-Plattform gemeldet. Im März wurde der schwerwiegendste Teil des Problems - der Start des Codes - beseitigt, aber der Anbieter verschob die Zeit um weitere sechs Monate und erlaubte nicht die Veröffentlichung der Schwachstellendaten ohne besonderen Grund.
Vor zwei Monaten erschien im Slack-Blog ein Beitrag über die Notwendigkeit, externe Inhalte zu isolieren: Diese Innovation wurde unter anderem durch eine entdeckte Sicherheitslücke verursacht.
Im Allgemeinen endete alles gut. Die Belohnung ist jedoch bemerkenswert: 1.750 US-Dollar für eine schwerwiegende Sicherheitsverletzung. Darüber hinaus kann es leicht ausgenutzt werden - es reicht aus, um Zugriff auf den angegriffenen Chat zu haben. Da der Forscher den Artikel nicht selbst veröffentlicht hat, sondern um ein öffentliches Ticket für HackerOne gebeten hat, können Sie die vollständige Korrespondenz eines unabhängigen Spezialisten mit dem Anbieter einsehen. Der Anspruch auf eine so niedrige Vergütung kam nicht vom Forscher selbst, sondern von der empörten Öffentlichkeit. Ja, tatsächlich könnte der Verkauf eines solchen Lochs an einen legitimen Schwachstellenbroker teurer sein. Auf dem Schwarzmarkt ist es sogar noch profitabler. Auf der anderen Seite verspricht Slack im Gegensatz zu größeren Unternehmen nicht viel Geld: Sie haben eine Obergrenze von 1.500 US-Dollar direkt auf der Bug-Bounty-Seite. Es geht also nicht nur ums Geld: auch jetzt nochWenn die meisten Anbieter Bug-Bounty-Programme ausführen, bleibt die Wahl, auf welcher Seite sie stehen sollen, weiterhin bestehen.
Was ist sonst noch passiert?
In der vergangenen Woche wurde viel darüber diskutiert , einen Tesla-Mitarbeiter zu bestechen, um bösartigen Code in das interne Netzwerk zu implantieren. Aber es gab noch eine andere Geschichte im Zusammenhang mit dem Hersteller von Elektroautos, nämlich die Möglichkeit, jedes Tesla-Auto aufgrund eines Fehlers in der Serverinfrastruktur fernzusteuern. Der Fehler ist alt, ab 2017, aber mit frischen Details und sogar einem technischen Bericht.
Spezialisten des Electronic Frontier Fund kritisieren die Überwachung von Studenten während der Zeit der Selbstisolation während wichtiger Prüfungen. Dieser Artikel beschreibt die Funktionen von Software, die ähnlichen Zwecken dient und sich nicht wesentlich von Spyware unterscheidet.
Eine Sicherheitslücke im Safari-Browser ermöglichtBenutzerdateien stehlen. In diesem Fall gibt es auch einen kontroversen Punkt im Bug-Bounty-Programm: Apple-Experten gaben das Vorhandensein eines Fehlers zu, versprachen jedoch, ihn im Frühjahr 2021, fast ein Jahr nach der Benachrichtigung, zu schließen. Eine weitere kritische Sicherheitslücke wurde geschlossen bereits im Browser Chrome.
Facebook warnt Werbepartner, dass iOS 14 es ernsthaft schwierig machen wird, Nutzer für die Schaltung relevanter Anzeigen zu profilieren. Wir sprechen über das Verbot der Verwendung einer einzelnen Werbegerätkennung, wenn der Besitzer des Geräts dies wünscht.