Информацию об уязвимости в Tor продали правительственному заказчику





Компания Zerodium опубликовала описание эксплойта 0-day для одного из ключевых расширений браузера Tor, сообщает Threatpost. Уязвимость позволяет обойти плагин NoScript и выполнять произвольные макросы на открытых в браузере сайтах. Разработчик дополнения уже выпустил апдейт, закрывающий эту уязвимость.

NoScript — это расширение для браузера, которое позволяет пользователю управлять выполнением скриптов Flash, JavaScript, Silverlight или Java на выбранных сайтах. Плагин включен во все дистрибутивы Tor Browser и обеспечивает дополнительный уровень безопасности при просмотре содержимого веб-страниц.

Баг дает возможность злоумышленнику обойти максимальный уровень блокировки, запрещающий запуск любого небезопасного контента. Ошибка не представляет опасности сама по себе, но может стать частью многоступенчатой атаки.

Уязвимость обнаружена только в «классическом» варианте NoScript, работающем на Tor Browser 7.0 и ниже, начиная с релиза 5.0.4. На прошлой неделе разработчики браузера выпустили Tor Browser 8.0, который работает на движке Firefox Quantum, в связи с чем код плагина также был переработан под стандарты нового API. В свежей, 10-й версии NoScript баг отсутствует.

Компания Zerodium занимается покупкой уязвимостей нулевого дня в программном обеспечении и последующей продажей их государственным и частным заказчикам. Как сообщил CEO организации Чаоки Бекрар (Chaouki Bekrar), эксплойт был обнаружен несколько месяцев назад в ходе программы по отлову багов в браузере Tor.

По словам Бекрара, в дальнейшем информация об уязвимости была продана одному из правительственных заказчиков компании.

«Мы решили раскрыть этот эксплойт, поскольку срок его жизни истек с выходом Tor 8. Кроме того, нам бы хотелось обратить внимание на недостаточный уровень аудита безопасности компонентов браузера, используемых по умолчанию», — отметил руководитель Zerodium.

Автор: Softodrom.ru
Дата:


» Оставьте первым свой комментарий


Новости > Безопасность > Информацию об уязвимости в Tor продали правительственному заказчику
Все рубрики статей:
Топ-сегодня: Безопасность
Как узнать емейл человека?
На этот раз мы обсудим проблему приватности и безопасности применительно к задаче поиска адреса электронной почты нужного нам человека
Как удалить данные без возможности восстановления
Что такое безвозвратное удаление данных, и как удалить данные с компьютера так, чтобы их нельзя было восстановить
Программы для взлома счетов стали автоматическими
Большая часть хакеров, ворующих деньги со счетов, находится в России, на Украине и в Румынии
Twitter предупредил пользователей об опасности взлома аккаунтов
Twitter разослал части своих пользователей письма, в которых предупредил об угрозе атак «спонсируемых государством» хакеров
Павел Дуров сообщил о попытке взлома его почты «связанными с государством хакерами»
Ранее стало известно о том, что основанный Павлом Дуровым мессенджер Telegram может быть заблокирован Роскомнадзором уже в июне
Новые статьи: Безопасность
Уязвимость в соцсети «ВКонтакте» привела к волне спама
По словам взломщиков, они хотели отомстить «ВКонтакте» за отказ в оплате найденной бреши
Сбербанк предложил запретить программы, способные подменять номер телефона
Сбербанк предлагает наказывать граждан за использование таких программ, это должно классифицироваться как уголовное преступление
Сбербанк предупредил о мошенничестве с подделкой голоса
В Сбербанке прогнозируют, что в течение полугода злоумышленники начнут использовать новый вид банковского мошенничества
Россиянам вернули украденные хакерами деньги
Российские банки возместили своим клиентам более 230 млн. руб., украденных киберпреступниками
Android можно было захватить с помощью PNG-картинки
Google пропатчила в Android критическую уязвимость, позволявшую исполнить любой код на мобильном устройстве, послав на него вредоносный файл изображений в формате PNG

Статистика | Рейтинги | Авторам | Реклама
Copyright © 1999-2019 Softodrom.ru
О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».