Уязвимость в мобильном приложении PayPal позволяет миновать двухфакторную аутентификацию

Уязвимость PayPal позволяет миновать двухфакторную аутентификацию

Основатель и CEO компании Vulnerability Lab Бенджамин Кунц Меджри (Benjamin Kunz Mejri) обнаружил в API мобильных приложений компании PayPal уязвимость, позволяющую миновать двухфакторную аутентификацию и получить доступ  даже к заблокированному аккаунту платежной системы.

Баг распространяется на оба мобильных приложения – для Android и iOS.

Компания PayPal частенько просит пользователей подтвердить свою личность, таким образом стараясь защитить их от интернет-мошенничества. Для подтверждения личности пользователь должен позвонить или оправить email в PayPal, а пока это не было сделано, аккаунт пользователя блокируется, пишет xakep.ru.

Меджри, однако, сумел обойти данную систему. «Мой PayPal аккаунт заблокирован, я не могу залогиниться на сайт или просто залогиниться, не имея действительных cookie. Однако, когда появляется сообщение об ошибке, там есть редирект. Использование этого редиректа ведет к открытию сайта внутри приложения, и краху всей процедуры проверки. В итоге, этот метод позволяет обойти механизмы авторизации и защиты», — пишет Меджри.

Действительно, видео ниже показывает, что многократные попытки войти в заблокированный аккаунт и использование cookies от действительной сессии помогли эксперту миновать блокировку и войти в аккаунт:

Меджри сообщил, что данный метод позволяет обойти не только механизм проверки личности, но и систему двухфакторной аутентификации PayPal. Как только доступ к аккаунту получен, у атакующего есть возможность изменить пароль и другие детали профиля пользователя.

По состоянию на 8 сентября 2015 года баг не исправлен. Vulnerability Lab сообщает, что PayPal признает существование проблемы, но серьезно недооценивает ее важность. Тем не менее, по мнению экспертов, уязвимостью могут воспользоваться хакеры, так как баг можно эксплуатировать удаленно, вовлечение пользователя в процесс не требуется.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Объём отгрузок Positive Technologies составил 26 млрд по итогам 2024 г.

По текущим управленческим данным, объём отгрузок Positive Technologies по итогам 2024 года составил около 26 млрд рублей, а фактически оплаченные поставки, по ожиданиям компании, достигнут 25,5 млрд рублей.

Окончательные результаты будут сформированы с учётом поступивших до 31 марта 2025 года платежей за отгруженные в 2024 году лицензии.

Финансовые показатели оказались ниже изначальных прогнозов. Влияние на итоги четвёртого квартала оказали изменения в денежно-кредитной политике, включая повышение ключевой ставки и удорожание заёмных средств, что ограничило возможности клиентов по освоению бюджетов.

В 2024 году Positive Technologies представила несколько новых продуктов. Среди них — PT NGFW (Next Generation Firewall), разработка которого заняла два года. Сертификация решения была завершена в ноябре 2024 года, после чего компания начала его внедрение на рынке сетевой безопасности.

Кстати, в сегодняшней статье мы пытались разобраться, реально ли создать продукт мирового уровня за два года.

По итогам 2024-го было проведено более 300 пилотных проектов, значительная часть которых находится на этапе подготовки контрактов и тендерных процедур. Основные поставки продукта ожидаются в 2025 году и последующие периоды.

В 2024 году компания также представила PT Dephaze — решение в сегменте breach and attack simulation (BAS) и автоматического тестирования на проникновение, а также PT Data Security для защиты данных. Запуск пилотных проектов и начало продаж этих решений запланированы на 2025 год.

Кроме того, Positive Technologies продолжила развивать направление метапродуктов, представив MaxPatrol Carbon, предназначенный для оценки киберустойчивости ИТ-инфраструктуры, и сервис PT Knockin для проверки защищенности корпоративной электронной почты.

Аудированная консолидированная финансовая и управленческая отчетность за 2024 год будет опубликована в начале апреля. Итоговые показатели включат оплаченные до 31 марта 2025 года отгрузки в соответствии с учётной политикой компании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru