Microsoft втрачає контроль над важливим субдоменом Windows Tiles

Схоже, що Microsoft контролює важливий субдомен Windows Tiles, який дозволяє веб-сайтам надсилати дані на живі плитки. Субдомен, про який йде мова, спочатку був налаштований Microsoft для роботи з Windows 8, а пізніше був також розширений до Windows 10.

Субдомен є частиною служби buildmypinnedsite.com, яку Microsoft розгорнула з запуском Windows 8. Субдомен був налаштований, щоб дозволити веб-сайтам додавати метадані, щоб вони могли надсилати дані назад до списку закріплених веб-сайтів Microsoft Edge на комп’ютері користувача. Однак домен не зміг обробити запити, тому Microsoft створила субдомен notifications.buildmypinnedsite.com, який перетворює їхні RSS-канали в спеціальний формат XML, який служба Windows Tiles аналізуватиме та створює анімовані живі плитки.

На жаль, сьогодні сервіс зламався. Ханно Бьок (через ZDNet) — дослідник, який помітив, що субдомен не зареєстровано в Azure. Побачивши це, він зайшов і зареєстрував субдомен у своєму акаунті Azure.

Показаний лише хост, який повинен доставити файли XML – notifications.buildmypinnedsite.com повідомлення про помилку з хмарного сервісу Microsoft Azure. Хост був перенаправлений на субдомен Azure. Однак цей субдомен не був зареєстрований в Azure.

Він уже сповістив Microsoft, але не отримав жодної відповіді від компанії. Він сказав, що не може відкладати це занадто довго, оскільки величезний трафік на хості збільшує його вартість обслуговування.

Ми не будемо постійно реєструвати хост. До цього хоста надходить пристойна кількість трафіку та збільшуються витрати. Як тільки ми скасовуємо субдомен, поганий актор може зареєструвати його та використати для зловмисних атак.

Якщо він скасовує субдомен, будь-який хакер може зареєструвати його та розробити метод створення неправильних XML-файлів, які можуть зловживати службою Windows Live Tiles для запуску коду на комп’ютерах користувачів, у яких на початкових сторінках все ще є Live Tiles на основі веб-сайтів. /меню. ХНаразі anno Böck рекомендує веб-сайтам видалити метатег або використовувати прямий спосіб доставки інформації, пропускаючи notifications.buildmypinnedsite.com.