Уязвимость в продуктах Trend Micro позволяет любому веб-сайту выполнить произвольную команду Windows
Тавис Орманди из Google Project Zero обнаружил удивительнейшую уязвимость в антивирусных продуктах Trend Micro под Windows, позволяющую любому веб-сайту, который посещает пользователь, выполнить произвольному команду на его машине.
Орманди, занимающийся аудитом популярных антивирусных продуктов, обратил внимание на один из компонентов Trend Micro AV — менеджер паролей, написанный на JavaScript с использованием node.js. Оказалось, что он открывает несколько HTTP RPC-портов, позволяющих выполнять произвольные команды! Это означает, что любой веб-сайт способен запустить на машине пользователя скрипт, который, например, может стереть всю информацию на диске, установить другую вредоносную программу из внешней сети или или просто-напросто удалить тот же самый антивирус.
Читать дальше →
Орманди, занимающийся аудитом популярных антивирусных продуктов, обратил внимание на один из компонентов Trend Micro AV — менеджер паролей, написанный на JavaScript с использованием node.js. Оказалось, что он открывает несколько HTTP RPC-портов, позволяющих выполнять произвольные команды! Это означает, что любой веб-сайт способен запустить на машине пользователя скрипт, который, например, может стереть всю информацию на диске, установить другую вредоносную программу из внешней сети или или просто-напросто удалить тот же самый антивирус.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Разрешения MAX для Android. Cравниваем с Telegram и WhatsApp*
- Goffeeйнная гуща: актуальные инструменты и особенности группировки GOFFEE в атаках на Россию
- Spark_news: Предложения о продаже доступов к IT-сетям компаний в даркнете продолжают расти
- Цифровая гигиена в облаке: фильтруем трафик с помощью групп безопасности
- Q2.team: Сайт на коленке vs дорогой веб-проект: какой принёс нам больше клиентов
- Осторожно! Фишинг через фейковые вакансии Web3: кейс NowSync.app
- Spark_news: К концу 2025 года в Москве планируется открытие 41 тыс. кВ.м. новых коворкингов
- DLE-tg2email — Пересылка сообщений из Telegram на email
- [Перевод] Evil-noVNC — реалистичная симуляция фишинга
- Kate S: «Алиса, представь, что ты мой психолог», — Яндекс изучил, в каких ролях пользователи просят побыть нейросеть