Security Week 36: критическая уязвимость в Slack

На прошлой неделе появились детали нескольких критических уязвимостей в мессенджере Slack. Исследователь Оскарс Вегерис нашел метод практически полного взлома корпоративного аккаунта — с утечкой данных, выполнением произвольного кода на компьютере жертвы, возможностью рассылки зараженного сообщения другим пользователям и хостинга вредоносного скрипта на серверах Slack. Атака на десктопное приложение, использующее фреймворк Electron, проводится в два этапа: исследователь сначала нашел способ задействовать два HTML-тега — area и map, а потом с их помощью загрузил скрипт, выполняющий произвольный код на машине жертвы. Сценарий выглядит просто: злоумышленник делится файлом, по клику на него выполняется вредоносный код. Альтернативный вариант — кража сессии пользователя с понятными последствиями: полный доступ к данным корпоративного чата. Информацию о баге передали разработчикам через платформу HackerOne в январе. В марте самую серьезную часть проблемы — запуск кода — устранили, но вендор еще полгода тянул время, не разрешая публикацию данных об уязвимости без особой на то причины. Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• Глухарь ESPшный — мемуары охотника
• Когнитивная эргономика в веб-дизайне: Как не отупеть от собственного интерфейса
• Процесс охоты за угрозами
• Прихоть или безопасность: как компаниям использовать биометрию в новых реалиях
• За четыре года доля пользователей облачных сервисов в РФ выросла втрое и достигла 54%
• Ньюстальгия: как говорить с ностальгирующей аудиторией
• Распознаем STL-код легко: std::vector
• Есть ли жизнь после Cisco ISE? Распаковка и тест-драйв российского NAC от Eltex в сетевой лаборатории
• ИИ взломали. Кто бы мог подумать?
• DPI, ТСПУ и операторы: архитектура блокировки трафика в России