В кошельках Electrum устранена критическая уязвимость - Новости и Обзоры
интернет-защита
все антивирусы в одном приложении

В кошельках Electrum устранена критическая уязвимость

Еще в ноябре 2017 года пользователь GitHub, известный как jsmad, обратил внимание разработчиков криптовалютного кошелька Electrum на обнаруженную в коде проблему.

Как выяснилось, баг позволял любому сайту и людям, которые его контролируют, похищать средства пользователя, если Electrum был запущен одновременно с браузером и не защищен паролем. Если пароль все же был установлен, это должно было защитить пользователя, если тот не осуществлял транзакций.

К сожалению, осознать всю опасность проблемы в полной мере разработчики Electrum сумели только после дополнительного предупреждения, полученного от специалиста Google Project Zero Тевиса Орманди. Недавно эксперт обнаружил ту же самую уязвимость, узнал, что о ней уже сообщали ранее, и обратил внимание разработчиков на тот факт, что баг в высшей степени опасный.

В результате 7 января 2018 года для Electrum был выпущен экстренный патч, а 8 января появилась новая версия кошелька (3.0.5), в которой уязвимость была устранена окончательно. Так как кошельки не предусматривают автоматического обновления, теперь безопасность пользователей в их собственных руках и зависит от того, как часто они проверяют обновления ПО.

Как выяснилось, уязвимость присутствовала в коде Electrum с начала 2016 года, с версии 2.6. Проблема связана с интерфейсом JSON-RPC, реализация которого в Electrum оказалась небезопасной. 

Доподлинно неизвестно, знали ли о данной проблеме злоумышленники, и были ли случаи ее реальной эксплуатации и хищения средств. Стоит заметить, что еще в ноябре 2017 года ИБ-эксперты зафиксировали волну сканирований: тогда неизвестные лица прицельно искали «смотрящие» в интернет интерфейсы JSON-RPC.

Сообщество Вконткте
обзоры антивирусов и программ безопасности
Комментарии и отзывы
Добавляя комментарий, ознакомьтесь с Правилами сообщества
Система Orphus