Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Специалист в области кибербезопасности Винот Кумар получил от Facebook $20 000 за сообщение об уязвимости DOM XSS, которую можно использовать для получения контроля над аккаунтами пользователей.

По словам эксперта, брешь находилась в функции window.postMessage(), предназначенной для безопасного взаимодействия между объектами окна.

Кумар обнаружил, что Facebook Login SDK отправляет исходный пейлоад ифрейму v6.0/plugins/login_button.php. А сам ифрейм содержит URL кнопки «Продолжить через Facebook».

Когда пользователь кликает по этой кнопке, ссылка из пейлоада postMessage выполняется внутри ифрейма, благодаря чему открывается возможность для выполнения JavaScript-кода на Facebook.com.

Исследователь выявил два способа эксплуатации этого бага, один из которых подразумевает открытие всплывающего окна и коммуникации с ним, а второй — задействует ифрейм.

В случае успешной эксплуатации атакующий мог перехватить cookies сессии пользователя и получить контроль над его учётной записью. Кумар записал видео, в котором демонстрирует наличие бреши:

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Facebook признал ошибку в отношении обсуждений Linux

Администрация Facebook (принадлежит корпорации Meta, признанной в России экстремистской и запрещенной) признала, что блокировка публикаций, связанных с ОС Linux, была ошибочной. Как сообщили представители соцсети, все ограничения сняты.

С 19 января Facebook начал блокировать посты, содержащие обсуждения Linux или ссылки на сайты, посвященные этой операционной системе.

В результате были заблокированы страницы ряда пользователей, включая датский ресурс Distrowatch, популярный среди поклонников Linux. Администрации ресурса пришлось перенести свою деятельность в соцсеть Mastodon.

Представители Distrowatch подали апелляцию, которая была удовлетворена 28 января. В ответе на запрос издания PC Mag компания Meta (признана экстремистской и запрещена в России) заявила:

«Эта политика была признана ошибочной и пересмотрена. Обсуждения Linux разрешены на всех наших сервисах».

Однако ранее администрация Facebook сообщала датскому ресурсу, что политика модерирования в отношении публикаций о Linux пересматриваться не будет. Такой противоречивый подход, по мнению журналиста Tom’s Hardware Guide Марка Тайсона, отражает общую неповоротливость крупных технологических компаний.

Кроме того, издание отметило, что разблокировка страницы Distrowatch оказалась частичной — часть публикаций по-прежнему не отображалась.

Решение Facebook вызвало широкий резонанс среди пользователей и специалистов по Linux, особенно учитывая, что сама соцсеть использует эту операционную систему в своей инфраструктуре и активно нанимает специалистов в этой области.

Эта ситуация даже породила спекуляции о возможном заговоре крупных корпораций Кремниевой долины против программного обеспечения с открытым кодом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru