12.03.2013 Новости, Консалтинг и системная интеграция, Соглашения, сотрудничествоЭксперты компании Positive Technologies обнаружили в сервисах Яндекса ряд серьезных уязвимостей, позволяющих получить доступ к доступ к отдельным частям внутренней сети компании. Поиск проходил в конце 2012 г. в рамках второго этапа программы Yandex Bug Bounty, которую на постоянной основе проводит крупнейшая российская поисковая система. Объектами для поиска уязвимостей стало большинство ресурсов Яндекса, а также мобильные приложения: Яндекс.Карты, Яндекс.Навигатор, Яндекс.Музыка, Яндекс.Почта и Яндекс.Маркет. Как выяснили специалисты группы анализа защищенности веб-приложений Positive Technologies, проблемы с безопасностью есть на Яндекс.Паспорте, Яндекс.Почте, Яндекс.Картах, серверах wiki.yandex.ru, school.yandex.ru и других ресурсах интернет-портала. Всего специалистами Positive Technologies было обнаружено несколько десятков уязвимостей различного уровня опасности, включая Memory Disclosure, XSS, Open Redirect, Response Splitting и CSRF. Самой серьезной, по словам специалистов Positive Technologies, стала ошибка безопасности на сервисе Яндекс.Вебмастер, который оказался уязвимым для внедрения внешних сущностей XML (XML External Entity) через XSD-схемы. Эксплуатация данной уязвимости могла открыть доступ к соседним хостам во внутренней сети Яндекса и представлять потенциальную опасность для пользовательских данных. Благодаря профессиональной работе специалистов компании Яндекс недостатки защищенности в популярных сервисах были оперативно устранены. Компания ...
читать далее.
