Баг позволяет удалить с Facebook любое видео

Баг позволяет удалить с Facebook любое видео

Специалист по безопасности Пранав Хиварекар (Pranav Hivarekar) рассказал в своем блоге, что в начале июня 2016 года он обнаружил критическую уязвимость в Facebook. Баг позволял удалить из социальной сети любое видео, невзирая на то, кому оно принадлежит.

Проблема, обнаруженная исследователем, возникла из-за новой функции, которую разработчики Facebook представили в начале июня. Эта функция позволяет размещать видео прямо в комментариях к постам.

Хиварекар заметил, что вставка видеороликов в комментарии происходит, основываясь на ID видео. Изучив работу API, исследователь понял, что с легкостью может удалить из социальной сети абсолютно любой ролик, пишет xakep.ru.

Для удаления чужого видео было достаточно написать комментарий, приложив к нему видеоролик, то есть использовав чужой video-id. Затем нужно было удалить этот комментарий. Из-за ошибки вместе с комментарием удалялось и само видео. Дело в том, что во время удаления Facebook не проверял, какому именно пользователю принадлежит видеоролик, и кто его загрузил. Удаление любого комментария, содержавшего определенный video-id, расценивалось как удаление самого видео. То есть разработчики социальной сети предполагали, что пользователи будут загружать и прикладывать к комментариям исключительно свои собственные видеозаписи.

«Данный баг скорее демонстрирует уязвимость в логике, нежели относится к уязвимостям типа RCE, SSRF и так далее, которые мы видим каждый день», — пишет исследователь.

Исследователь уведомил Facebook о проблеме 11 июня 2016 года, спустя два дня после добавления новой функции. Для первичного устранения бага разработчикам Facebook понадобилось всего 23 минуты, а спустя 11 часов вышел полноценный патч.

Хиварекар пишет, что получил пятизначное вознаграждение по программе bug bounty за обнаружение данной проблемы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В MULTIFACTOR добавили автоматическую синхронизацию с Active Directory

Компания МУЛЬТИФАКТОР добавила в систему MULTIFACTOR возможность автоматической синхронизации учётных записей. Теперь пользователям не требуется вручную обновлять данные Active Directory в личном кабинете системы или использовать скрипты.

Сам процесс отныне выполняется через сервис MULTIFACTOR Directory Sync.

MULTIFACTOR Directory Sync — это сервис для Windows, который синхронизирует учётные записи Active Directory с личным кабинетом MULTIFACTOR. Он доступен в репозитории компании.

Как происходит процесс настройки:

  1. MULTIFACTOR Directory Sync подключается к Active Directory с использованием заданных в настройках учётных данных.
  2. Затем он загружает список пользователей из указанной группы, включая вложенные группы (эта настройка задаётся в личном кабинете MULTIFACTOR).
  3. Сервис отслеживает изменения атрибутов (логин, имя, e-mail, телефон) и передаёт обновлённые данные в систему.

По словам руководителя разработки MULTIFACTOR Алексея Пашкова, добавление этого механизма автоматизации дополняет уже существующие способы управления записями в системе — через личный кабинет или API.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru