Уязвимость на странице авторизации Google доускает возможность заражения ПК

Британский эксперт в сфере безопасности Эйдан Вудс выявил тревожную уязвимость на странице авторизации Google, используя которою злоумышленники могут загружать файлы на ПК пользователя, когда тот жмет кнопку «Войти».

Дело в том, что Google принимает continue=[link] в качестве параметра URL-адреса страницы авторизации, который указывает серверу Google куда перенаправить пользователя после прохождения аутентификации. В компании предусмотрели возможные риски, связанные с данным  параметром, поэтому ограничили его использование только доменами google.com, использующими *.google.com/*, где * – символ подстановки. Это означает, что ссылки drive.google.com и docs.google.com могут считаться действительными параметрами continue URL-адреса.

По утверждению эксперта, мошенник может загрузить вредоносное ПО в свою учетную запись на Google Drive или Google Docs и скрыть URL в ссылке на официальную страницу авторизации Google. В случае получения пользователями письма с такой ссылкой, они будут уверены в ее достоверности. Перейдя по ней и завершив процесс авторизации, ничего не подозревающие пользователи станут жертвами такой, казалось бы не сложной, но опасной схемы.

Вудс уже сообщил о проблеме в Google, тем не менее пока ответ от компании не поступал.

Источник http://www.securitylab.ru/

Оставить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

*