Разработчики Signal залатали серьезный баг со второй попытки

Злоумышленники могли встраивать сторонний код в сообщения мессенджера и выполнять его без ведома жертвы.

Независимые исследователи обнаружили баг в десктопной версии мессенджера Signal. Уязвимость позволяет внедрить сторонний код в тело входящего сообщения и выполнить его без ведома получателя. Разработчик программы уже исправил ошибку.

Специалисты обнаружили уязвимость в Signal, разбираясь с другой проблемой. ИБ-эксперты обменивались ссылками на сайты с внедренными фрагментами стороннего кода, когда обнаружили, что их полезная нагрузка автоматически воспроизводится в окне мессенджера.

Изучение уязвимости показало, что Signal пропускает инъекции стороннего кода в HTML-тегах <iframe>, <image>, <video> и <audio>. В качестве полезной нагрузки могут выступать как внешние, так и локальные ресурсы — киберпреступники способны использовать в сообщениях файлы, размещенные на устройстве пользователя.

Такая атака не позволяет злоумышленнику напрямую получить доступ к конфиденциальным данным получателя, но открывает широкие возможности для использования социальной инженерии. В частности, мошенник может отправить жертве поддельную форму авторизации, чтобы украсть логины и пароли.

“Главная проблема заключалась в том, что от жертвы не требуется каких-либо действий. Инициировать чат в Signal может каждый, поэтому злоумышленнику нужно лишь отправить специально созданную ссылку, чтобы начать атаку”, — заявил Иван Ариэль Баррера Оро (Iv?n Ariel Barrera Oro), один из экспертов, обнаруживших проблему.

Под угрозой оказался Signal для Windows, Linux и macOS версий 1.7.1, 1.8.0, 1.9.0 и 1.10.0. Исследователи немедленно сообщили об ошибке разработчикам, и те выпустили пропатченный вариант программы.

Специалисты также выяснили, что защита от XSS-атак в чатах присутствовала в прошлых релизах Signal, однако исчезла из кода программы после 10 апреля.

Проблемы мессенджера на этом не закончились. Спустя пару дней те же эксперты выяснили, что новая версия приложения по-прежнему уязвима. Эксплуатация ошибки стала чуть сложнее — теперь злоумышленник должен отправить два сообщения: одно — содержащее вредоносный код, и другое — включающее его как цитату.

Специалисты продемонстрировали новый PoC-код вендору, после чего Signal получил окончательно исправленную версию 1.11.0. Для того чтобы залатать брешь, разработчикам понадобилось всего несколько часов.

Уязвимость Signal напоминает недавнюю проблему почтового клиента Outlook. Технология обмена данным OLE позволяла выполнить код стороннего сайта в окне предварительного просмотра RTF-документа, приложенного к письму. Microsoft исправила уязвимость в рамках очередного вторника патчей.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля