НеКасперский

Не баг, а фича

Едва Telegram успел порадовать фичей с виджетами, как у безопасников появилась новая головная боль.

Уязвимость в свежей функции позволяет запускать левый софт на Android.

Павел Дуров презентовал интерактив с играми, опросами и мини-сервисами прямо в теле сообщения. Технически это выглядит как пакет размером до 4 КБ, внутри которого живёт HTML, CSS и JavaScript.

По идее, этот код должен быть изолирован от сети системы. Telegram даже проверяет изменения интерфейса перед показом, а переходы по внешним ссылкам защищены подтверждением через HTTPS.

Но спец под ником v12 поставил безопасность под сомнение. Он нашёл уязвимость для обхода ограничений и запуска произвольного софта на Android.

В iOS и Windows пока всё тихо, а в самом Telegram функцию зажали в тиски. Боты могут слать виджеты только в личку, и пересылать их нельзя.

Пока неясно, какие версии клиентов дырявые, что именно должен нажать пользователь и когда будет патч. В общем, не тыкайте на виджеты от мутных ботов.

НеКасперский

Взяли на подъём

Пророссийские хакеры взломали ресурсы украинской компании ООО «Автодеталь», завод «Спецавтотехника».

Участники группировок «Смешарики» и PalachPro заявили о компрометации панели администратора и почтового менеджера.

В результате атаки был захвачен сервер, выгружены файлы и внутренние документы. В качестве доказательств атакующие опубликовали в своих соцсетях соответствующие скриншоты.

Затронут и сайт пострадавшей компании. Вместо привычного интерфейса на главной странице появилось объявление об атаке.

НеКасперский

Не дорогие клиенты

Американская стоматологическая сеть Park Dental Partners признала масштабную кражу медицинских данных пациентов.

Хакеры были в сети 26 и 27 августа. Обнаружили их на следующий день, а расследование завершили только 7 октября.

Как хакеры получили доступ внутрь, в компании не рассказывают.
В уведомлении для генпрокурора Техаса компания указала более 1,2 млн пострадавших по всей стране.

Среди украденного есть имена, даты рождения, сведения о лечении и диагнозах, а также данные страховых полисов.
Письма пострадавшим начали отправлять только в эту пятнцу, через почти 2,5 месяца 🫣

Можно было и забить уже, чего париться.

НеКасперский