В TikTok обнаружены баги, позволяющие угнать аккаунт за один клик

В TikTok обнаружены баги, позволяющие угнать аккаунт за один клик

В TikTok обнаружены баги, позволяющие угнать аккаунт за один клик

Операторы видеосервиса TikTok устранили две уязвимости, которые в комбинации позволяют без особых трудозатрат захватить контроль над чужим аккаунтом. Одна из них присутствовала на сайте, другая объявилась в клиентском приложении. Соответствующие патчи вышли 18 сентября, информация о багах была опубликована в конце прошлой недели.

Обе проблемы обнаружил живущий в Берлине исследователь, использующий псевдоним milly. Отчет о находках молодой человек подал в рамках программы поиска багов, запущенной на платформе HackerOne, и в итоге был удостоен награды в размере 3860 долларов США.

Согласно записи milly на HackerOne, уязвимость на сайте TikTok возникла из-за неадекватной санации одного из параметров URL и классифицируется как «отраженный межсайтовый скриптинг». Эксплуатация в данном случае позволяет выполнить вредоносный код в браузере пользователя посредством проведения XSS-атаки. Степень опасности бреши оценена как высокая (8,2 балла по шкале CVSS); идентификатор CVE ей пока не присвоен.

Уязвимость в клиенте TikTok относится к классу «подделка межсайтовых запросов» (CSRF). Ее использование позволяет задать новый пароль для учетной записи, допускающей вход через сторонние приложения (по технологии единого входа — SSO, Single Sign-On), и совершать действия от имени законного владельца аккаунта.

Для демонстрации уязвимостей исследователь создал простейший JavaScript-эксплойт для CSRF и внедрил его в URL TikTok в качестве значения уязвимого параметра. Использование этой связки помогло milly эффективно перехватить контроль над аккаунтом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Почти каждая пятая российская компания использует иностранное ПО

Как показал опрос 530 российских компаний, проведенный компанией «Р7», 100 из них по-прежнему используют зарубежное ПО. Основные причины – высокая стоимость и недостаточная функциональность российских аналогов.

Результаты данного исследования оказались в распоряжении ТАСС. Причем 100 компаний, которые тянут с переходом на отечественное ПО являются довольно крупными, с оборотом свыше 800 млн рублей.

Основным критерием выбора ПО является стоимость (70%) и функциональность (60%). Однако приоритет зависит от размера: чем меньше компания, тем более значим фактор цены, тогда как для среднего бизнеса важнее функциональность.

«Не все компании готовы к полному переходу. Им не хватает информации, рекомендаций и практических примеров», — обращают внимание авторы исследования.

Больше половины респондентов (55%) заявили, что для них условием перехода на отечественное ПО является, помимо снижения цены и улучшения функциональных возможностей, упрощение миграции с используемых систем на их  отечественные аналоги.

Вместе с тем такая проблема возникает даже при переходе на новую версию популярных продуктов. Так, участники круглого стола «Российские альтернативы Microsoft Exchange» обратили внимание на то, что потеря данных является частым явлением при обновлении версии Exchange.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru