В начале ноября 2017 года разработчики Facebook представили новую функцию: позволили пользователям создавать опросы, в состав которых можно включать изображения и даже анимированные GIF. Иранский исследователь и веб-разработчик Пойя Дараби (Pouya Darabi) рассказал, что вскоре после релиза ему удалось обнаружить критическую уязвимость, связанную с этой функцией.

Опрос с картинками

Специалист объяснил, что при создании каждого нового опроса на серверы Facebook уходит запрос, который, помимо прочего, содержит идентификаторы использованных в голосовании изображений. Как оказалось, эти ID можно подменить идентификатором любого другого изображения, размещенного в социальной сети, и эта картинка в итоге появится в опросе. Если после этого атакующий удалит свой опрос, вместе с ним с серверов Facebook будет удалено изображение с соответствующим ID. То есть чье-то чужое фото.

Дараби обнаружил проблему еще 3 ноября 2017 года, и в тот же день разработчики социальной сети представили временную «заплатку», а 5 ноября 2017 года устранили проблему уже окончательно.

Исследователь пишет, что получил за обнаруженный баг вознаграждение в размере 10 000 долларов США. Стоит сказать, что это не первый случай, когда Дараби удается заработать солидную сумму, находя баги в Facebook.Так, в 2015 году он нашел способ обхода CSRF-защиты, что принесло ему 15 000 долларов, а еще год спустя Дараби доказал, что это была не единственная проблема защитных механизмов и заработал еще 7500.

3 комментария

  1. Jeffrey Davis

    28.11.2017 at 10:41

    Ну, вообще, удалить чье-то чужое фото — это полезная функция могла быть. Так что это конечно же был не баг, а фича. Зря.

  2. john_

    30.11.2017 at 07:57

    10тыщ. 🙈 это выгоднее, чем сутками сидеть в офисе 😂😂😂

Оставить мнение