#новость дня
Никогда такого не было, и вот опять!
Уязвимость на базе localhost? Дайте две!
Итак, по порядку. Не так давно мы с вами обсуждали уязвимость под названием 0.0.0.0 Day. Суть её заключалась в том, что браузеры разрешали рандомным сервисам стучаться на разные порты по адресу 0.0.0.0, тем самым, позволяя этим самым сервисам определять, что же у вас на компьютере такого установлено. Это могли быть как средства для разработчиков, так и различные локальные сервисы поиска, защиты или просто мониторинга.
Так вот, на этих ваших прекрасных Android-смартфонах практически каждое приложение Facebook и Яндекса поднимают свой сервер, прослушивающий определённый диапазон портов. А скрипты аналитики и метрик передают куки этим самым серверам, связывая посещение некоего рандомного сайта с вашим аккаунтом в перечисленных компаниях.
А, каково? На iOS так сделать нельзя, потому что долгоживущие фоновые процессы ещё надо обосновать самому Apple.
А вы потом удивляетесь, откуда столько релевантной и не очень рекламы, ведь никому не говорили, никуда не входили. Только говорили.
Статья: https://localmess.github.io/
Перевод: https://habr.com/ru/articles/915732/
Совершенная красота, конечно. Facebook, кстати, перестали это использовать. Яндекс вроде ещё использует.
Почитайте статью или перевод. Очень крутая.
#cvs #security #privacy #vulnerability
>>Click here to continue<<
