Новости Возрождение Polyfill.io: 4% интернета может пострадать от ненадежного CDN-сервиса

[NewsMaker]

Клевета или реальная опасность – что стоит за закрытием скандального сайта?

---

---

Владельцы популярного сервиса Polyfill.io , Для просмотра ссылки Войди или Зарегистрируйся перезапустили его под новым доменом после того, как оригинальный сайт был закрыт. Сервис теперь расположен на адресе Polyfill[.]com, который зарегистрирован в Namecheap (как и предыдущая версия сайта) и полностью функционален.

Представители Polyfill.io заявили, что Для просмотра ссылки Войди или Зарегистрируйся и опровергли наличие каких-либо рисков цепочки поставок. Компания откликнулась на обвинения в участии в крупномасштабной атаке на цепочку поставок, Для просмотра ссылки Войди или Зарегистрируйся что все их сервисы кэшируются в Cloudflare и безопасны для использования. Несмотря на заверения компании, факты, предоставленные экспертами по безопасности, говорят об обратном.

Компания Cloudflare также Для просмотра ссылки Войди или Зарегистрируйся на несанкционированное использование своего названия и логотипа Polyfill.io. Cloudflare заявила, что Polyfill.io проигнорировала просьбы компании и не убрала логотип с сайта, что стало ещё одним предупреждающим сигналом о ненадёжности компании.

---

---

Название Cloudflare на сайте Polyfill

Cloudflare подтвердила Для просмотра ссылки Войди или Зарегистрируйся о том, что код, распространяемый через CDN Polyfill.io, действительно перенаправлял пользователей на сайты ставок. В Cloudflare сообщили, что около 4% интернета («десятки миллионов сайтов»), использовали polyfill.io, и назвали последствия атаки «крайне тревожными». Cloudflare предпринимает меры по автоматической замене ссылок на Polyfill.io безопасным зеркалом на сайтах, которые защищены Cloudflare.

Кроме того, Google начал уведомлять рекламодателей об этой атаке на цепочку поставок, предупреждая, что их целевые страницы содержат вредоносный код, который может перенаправлять посетителей без разрешения владельцев сайтов.

Cloudflare советует владельцам сайтов искать в своих репозиториях кода упоминания Polyfill.io и заменять их на «cdnjs.cloudflare.com/polyfill/». Это некритическое изменение, так как оба URL будут предоставлять одинаковый контент Polyfill, однако всем администраторам рекомендуется сделать это.

ИБ-компания Leak Signal также создала сайт Polykill.io, который позволяет искать сайты, использующие «cdn.polyfill.io», и предоставляет информацию о переходе на альтернативные решения.

В свете всех событий владельцам сайтов и разработчикам настоятельно рекомендуется воздержаться от использования как старого домена polyfill.io, так и нового polyfill.com, и заменить их на более безопасные альтернативы.