В начале ноября 2017 года разработчики Facebook представили новую функцию: позволили пользователям создавать опросы, в состав которых можно включать изображения и даже анимированные GIF. Иранский исследователь и веб-разработчик Пойя Дараби (Pouya Darabi) рассказал, что вскоре после релиза ему удалось обнаружить критическую уязвимость, связанную с этой функцией.
Специалист объяснил, что при создании каждого нового опроса на серверы Facebook уходит запрос, который, помимо прочего, содержит идентификаторы использованных в голосовании изображений. Как оказалось, эти ID можно подменить идентификатором любого другого изображения, размещенного в социальной сети, и эта картинка в итоге появится в опросе. Если после этого атакующий удалит свой опрос, вместе с ним с серверов Facebook будет удалено изображение с соответствующим ID. То есть чье-то чужое фото.
Дараби обнаружил проблему еще 3 ноября 2017 года, и в тот же день разработчики социальной сети представили временную «заплатку», а 5 ноября 2017 года устранили проблему уже окончательно.
Исследователь пишет, что получил за обнаруженный баг вознаграждение в размере 10 000 долларов США. Стоит сказать, что это не первый случай, когда Дараби удается заработать солидную сумму, находя баги в Facebook.Так, в 2015 году он нашел способ обхода CSRF-защиты, что принесло ему 15 000 долларов, а еще год спустя Дараби доказал, что это была не единственная проблема защитных механизмов и заработал еще 7500.
