При создании запроса разрешения для WebRTC URI был предоставлен из процесса содержимого. Этот URI был ненадежным и мог быть URI источника, …
При создании запроса разрешения для WebRTC URI был предоставлен из процесса содержимого. Этот URI был ненадежным и мог быть URI источника, которому ранее было предоставлено разрешение, минуя запрос. Эта уязвимость затрагивает Firefox < 78.
В процессе установки разрешения для устанавливаемых файлов задаются таким образом, что любой пользователь может их изменять.
https://cwe.mitre.org/data/definitions/276.html →Открыть в коллекции CWE →Пользовательский интерфейс не представляет пользователю критическую информацию должным образом, что позволяет скрывать или подменять саму информацию либо её источник. Это нередко является составной частью фишинговых атак.
https://cwe.mitre.org/data/definitions/451.html →Открыть в коллекции CWE →В приложениях, особенно веб-приложениях, доступ к функциональности ограничивается системой авторизации. Эта система сопоставляет списки контроля доступа (ACL) с элементами функциональности приложения — в частности, с URL-адресами веб-приложений. Если администратор не задал ACL для определённого элемента, злоумышленник может получить к нему доступ безнаказанно. Злоумышленник, способный обращаться к функциональности, не ограниченной ACL должным образом, может получить конфиденциальную информацию и, возможно, скомпрометировать приложение целиком. Такой злоумышленник может обращаться к ресурсам, которые должны быть доступны только пользователям с более высоким уровнем привилегий, получать доступ к административным разделам приложения или выполнять запросы на получение данных, к которым у него не должно быть доступа.
https://capec.mitre.org/data/definitions/1.html →Открыть в коллекции CAPEC →Атаки типа «Фальсификация журналов веб-сервера» предполагают внедрение, удаление или иное изменение содержимого журналов веб-сервера злоумышленником, как правило, с целью сокрытия других вредоносных действий. Кроме того, запись вредоносных данных в файлы журналов может быть направлена против задач, фильтров, отчётов и других агентов, обрабатывающих журналы в асинхронном шаблоне атаки. Данный шаблон атаки схож с «Внедрением/фальсификацией/подделкой журналов», за исключением того, что в данном случае атака направлена на журналы веб-сервера, а не приложения.
https://capec.mitre.org/data/definitions/81.html →Открыть в коллекции CAPEC →Фишинг — это метод социальной инженерии, при котором злоумышленник выдаёт себя за легитимную организацию, с которой жертва может вести дела, с целью побудить пользователя раскрыть конфиденциальную информацию (как правило, учётные данные аутентификации), которую злоумышленник впоследствии использует в своих целях. По существу, фишинг является формой сбора информации — «выуживания» данных.
https://capec.mitre.org/data/definitions/98.html →Открыть в коллекции CAPEC →Злоумышленник формирует запрос к цели, в результате которого та выводит/индексирует содержимое каталога. Один из распространённых методов получения содержимого каталога в виде вывода состоит в формировании запроса, содержащего путь, оканчивающийся именем каталога, а не именем файла, поскольку многие приложения настроены на вывод списка содержимого каталога при получении такого запроса. Злоумышленник может использовать это для изучения структуры каталогов цели, а также для получения имён файлов. Это нередко позволяет обнаружить тестовые файлы, резервные копии, временные файлы, скрытые файлы, конфигурационные файлы, учётные записи пользователей, содержимое сценариев, а также соглашения об именовании — всё это злоумышленник может использовать для проведения дальнейших атак.
https://capec.mitre.org/data/definitions/127.html →Открыть в коллекции CAPEC →Злоумышленник вводит в заблуждение приложение или пользователя, убеждая их запросить ресурс из непредусмотренного расположения. Подменяя расположение, злоумышленник может добиться использования альтернативного ресурса, нередко подконтрольного злоумышленнику, что помогает ему достигать вредоносных целей.
https://capec.mitre.org/data/definitions/154.html →Открыть в коллекции CAPEC →Злоумышленник направляет атаку фишингом (CAPEC-98) против конкретного пользователя или группы, адаптируя её к определённой категории пользователей для максимальной релевантности и обманчивости. Целевой фишинг — это расширенная версия фишинговой атаки, нацеленная на конкретного пользователя или группу. Качество целевого письма, как правило, повышается за счёт того, что оно кажется исходящим от известного или доверенного лица. Если учётная запись электронной почты какого-либо доверенного лица была скомпрометирована, сообщение может быть подписано цифровой подписью. Сообщение будет содержать информацию, специфичную для целевых пользователей, повышающую вероятность того, что они перейдут по ссылке на скомпрометированный сайт. Например, сообщение может свидетельствовать об осведомлённости о месте работы, проживании, интересах или иных сведениях о жертве, указывая на знакомство с ней. Как только пользователь следует инструкциям в сообщении, атака развивается как стандартный фишинг.
https://capec.mitre.org/data/definitions/163.html →Открыть в коллекции CAPEC →Злоумышленник нацеливается на пользователей мобильных телефонов с фишинговой атакой с целью получения паролей к учётным записям или конфиденциальной информации. Мобильный фишинг — это разновидность социотехнической техники фишинга, при которой атака инициируется посредством текстового или SMS-сообщения, а не электронного письма. Пользователю предлагается предоставить информацию или посетить скомпрометированный веб-сайт через данное сообщение. Помимо способа инициирования атаки, она развивается так же, как стандартная фишинговая атака.
https://capec.mitre.org/data/definitions/164.html →Открыть в коллекции CAPEC →Злоумышленник способен замаскировать одно действие под другое и тем самым обманом вынудить пользователя инициировать один тип действия, намереваясь инициировать другое. Например, пользователя могут убедить, что нажатие кнопки отправит запрос, тогда как в действительности произойдёт загрузка программного обеспечения. Злоумышленники могут осуществлять данную атаку как с использованием социотехнических методов — например, просто убеждая жертву совершить действие или опираясь на естественную склонность пользователя к нему, — так и технических методов, например с помощью кликджекинг-атаки, при которой пользователь видит один интерфейс, тогда как в действительности взаимодействует со вторым, скрытым интерфейсом.
https://capec.mitre.org/data/definitions/173.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| firefox | Отслеживается | |
| mozjs38 | Отслеживается |