Дослідник безпеки Джон Пейдж (John Page) опублікував інформацію щодо виявленої уразливості XXE (XML eXternal Entity) в браузері Internet Explorer, яка може дозволити хакерам красти файли з Windows. Ця можливість може бути використана, коли користувач відкриває файл MHT. Уразливість полягає у тому, що браузер обробляє файли MHT (MHTML Web Archive). Вони є стандартом за замовчуванням, в якому всі версії браузера зберігають веб-сторінки, коли користувач виконує команду «Зберегти сторінку» – CTRL + S. Сучасні браузери більше не зберігають веб-сторінки у форматі MHT і використовують стандартний формат HTML. Але більшість браузерів все ще підтримують обробку цього формату.

Уразливість в Internet Explorer дозволяє викрадати дані з Windows

Оскільки у Windows всі файли MHT автоматично відкриваються за замовчуванням в Internet Explorer, використання цієї «уразливості» є цілком звичайним. Користувачам необхідно всього лиш двічі клікнути по файлу, який отримано електронною поштою чи будь-яким іншим способом. За словами Пейджа, уразливий код залежить від того, як браузер обробляє користувацькі команди CTRL + K (подвійна вкладка), «Попередній перегляд» або «Друк». Зазвичай, це потребує деякої взаємодії з користувачем, але зазначається, що це може бути автоматизовано.

Як правило, при створенні екземплярів об’єктів ActiveX, таких як «Microsoft.XMLHTTP», користувачі отримають попередження системи безпеки в браузері і отримають запрошення активувати заблокований контент. Однак, при відкритті спеціально створеного файлу .MHT з використанням шкідливих тегів розмітки <xml>, користувач не отримає такого попередження.

За словами Пейджа, він успішно протестував уразливість в останньому браузері Internet Explorer 11 з усіма найсвіжішими оновленнями безпеки у версіях Windows 7, Windows 10 і Windows Server 2012 R2. Пейдж сказав, що 27 березня повідомив Microsoft про нову уразливість, але компанія відмовилась розглядати помилку для термінового виправлення безпеки.


Схожі новини

Новини ІТ

Український інженер-програміст Microsoft обікрав компанію на $ 10 млн

Колишній інженер-програміст Microsoft був арештований за звинуваченням у шахрайстві за те, що нібито намагався вкрасти $ 10 млн в цифровий валюті у свого колишнього роботодавця. Про це повідомили прокурори США. Володимир Квашук, 25-тирічний громадянин України, який проживає в Рентоні (штат Вашингтон), спочатку працював в Microsoft в ролі підрядника. Він був прийнятий на роботу в серпні 2016 […]


Новини ІТ

Firefox 70 попереджатиме про злам збережених паролів

Google Play видалив програми, які слідкують за людьми Оскільки безпека особистої інформації стає все більш пріоритетним завданням серед широкої громадськості, багато технологічних компаній обіцяють посилений захист у відповідь і впроваджують нові методи боротьби з будь-якими порушеннями після їх виникнення. В результаті співпраці Mozilla з фахівцем безпеки Троєм Хантом, у Firefox з’явився інструмент «Монітор». Він дозволяв користувачам отримувати […]


Новини ІТ

Уразливість Bluetooth може розкрити хакерам ваше місце розташування

Ваш Fitbit та інші Bluetooth-пристрої можуть видавати дані про місцезнаходження. Дослідники з Бостонського університету (BU) виявили уразливість в декількох відомих Bluetooth-пристроях, яка може дозволити третім сторонам визначати ваше місце розташування та іншу конфіденційну інформацію. В чужих руках ця інформація може бути використана для переслідування або зловживання. Близько 25 млн пристроїв Android було заражено шкідливим ПЗ […]


Улюблене 0
Відкрити сторінку улюбленого Продовжити перегляд