Знайдено уразливості в програмному забезпеченні Discord та Microsoft Teams

Як повідомляє Vice, група дослідників безпеки виявила низку вразливостей у програмному забезпеченні, що лежить в основі таких популярних програм, як Discord, Microsoft Teams, Slack та багатьох інших, якими користуються десятки мільйонів людей у ​​всьому світі.

На конференції з кібербезпеки Black Hat у Лас-Вегасі дослідники представили свої висновки, детально описавши механізми зламу Discord, Microsoft Teams і чат-додатку Element, з допомогою вразливості фреймворку Electron, який побудований на основі відкритого коду Chromium і крос-платформного середовища JavaScript Node JS.

У всіх цих випадках дослідники надсилали розробникам Electron інформацію про уразливості для їх усунення, що принесло їм винагороду у розмірі понад 10 000 дол. Помилки були виправлені до того, як дослідники опублікували своє дослідження.

Аадітя Пурані (Aaditya Purani), один із дослідників, який виявив ці вразливості, наголосив, що «звичайні користувачі повинні знати, що програми на базі Electron не такі, як їхні повсякденні браузери», тобто вони потенційно більш уразливі.

У випадку з Discord помилка, яку Пурані та його колеги знайшли, вимагала від них лише надіслати шкідливе посилання на відео. За допомогою Microsoft Teams виявлену помилку можна використати, запросивши жертву на зустріч. В обох випадках, якби жертви натиснули ці посилання, хакери змогли б отримати контроль над їхніми комп’ютерами, пояснив Пурані.

В окремому інтерв’ю Аадітя Пурані зізнався, що сам не запускає додатки Electron, натомість вибирає використання таких сервісів, як Discord або Slack, у своєму браузері, що більш захищений від хакерів. «Якщо ви реальний параноїк, я рекомендую використовувати сам веб-сайт, тоді ви матимете захист на рівні Chromium, який набагато більший, ніж у Electron», сказав Пурані.

Все ж таки, Пурані сказав, що це добре, коли Electron лежить в основі такої кількості додатків, оскільки «якщо у вас є лише одна структура, яка запускає всі програми, ви можете просто зосередитися на зміцненні тієї самої основи».

На його думку, одним із головних висновків їхніх досліджень є те, що Electron ризикований саме тому, що користувачі дуже ймовірно натискатимуть посилання, якими поділилися в Discord або Microsoft Teams. «Не натискайте тіньові посилання», попереджає Пурані.

Стратегія охолодження ЦОД для епохи AI